非ルートIDを使用して、ネットワークアクセスなしで新しいコマンドを実行できますunshare -r -n。たとえば、次のようになります。
$ unshare -r -n ls
a.txt b.txt
ネットワークアクセスを必要とするコマンドは失敗し、これは予想される現象です。
$ unshare -r -n curl unix.stackexchange.com
curl: (6) Could not resolve host: unix.stackexchange.com
/sysマジックファイルなどを作成して、現在のプロセスからネットワークアクセスを削除できるかどうか疑問に思います。
私は次のことができるようにしたいと思います。
$ /bin/sh -c 'echo 1 > /sys/unsharethis; curl unix.stackexchange.com'
strace-ingの抜粋はシステムコールをunshare -r -n ls示しています。unshare
open("/usr/lib/locale/locale-archive", O_RDONLY|O_CLOEXEC) = 3
fstat(3, {st_mode=S_IFREG|0644, st_size=4759040, ...}) = 0
mmap(NULL, 4759040, PROT_READ, MAP_PRIVATE, 3, 0) = 0x7f7ec6968000
close(3) = 0
unshare(CLONE_NEWUSER|CLONE_NEWNET) = 0
open("/proc/self/setgroups", O_WRONLY) = 3
write(3, "deny", 4) = 4
spawn私が見るには、現在のプロセスのネットワークアクセス共有を解除することが実際には共有解除を実装する唯一の方法のようです（つまり、引数などで渡すことはできません）。また、シェルが公開されるように特に拡張されない限り、シェルスクリプトで共有解除が機能しないことを示しますunshare。
ベストアンサー1
これは次の方法で行うことができます。gdbデバッガと実行中のプロセス（ダンプ可能な状態を変更するプログラム、またはルートでなければsetgidなどに接続できないプログラム）に接続できるかどうか。
libc6用のデバッグシンボルなど、gdbを使用するのに役立ついくつかのオプションのファイルと、後でいくつかのシンボルの実際の値を取得するいくつかのLinux関連インクルードファイル（例：Debian：（おそらく）やパッケージlibc6-dbg）、実際には一度「レシピ」が作成されると、もはや不要になる可能性があります。libc6-devlinux-libc-dev
まず超過するものunshare() unshare -rやってますか？これがないと、新しいユーザーは初期ユーザーの状態に留まり、次のような書き込みをnobody行うこともできなくなります。
$ id
uid=1000(user) gid=1000(user) groups=1000(user)
$ strace unshare -r -n /bin/sleep 1 2>&1 |sed -n '/^unshare/,/^execve/p'
unshare(CLONE_NEWNET|CLONE_NEWUSER) = 0
open("/proc/self/setgroups", O_WRONLY) = 3
write(3, "deny", 4) = 4
close(3) = 0
open("/proc/self/uid_map", O_WRONLY) = 3
write(3, "0 1000 1", 8) = 8
close(3) = 0
open("/proc/self/gid_map", O_WRONLY) = 3
write(3, "0 1000 1", 8) = 8
close(3) = 0
execve("/bin/sleep", ["/bin/sleep", "1"], [/* 18 vars */]) = 0
後で使用されます。
$ ip -4 -br a
lo UNKNOWN 127.0.0.1/8
eth0@if19 UP 10.0.3.66/24
$ ping -c1 10.0.3.1
PING 10.0.3.1 (10.0.3.1) 56(84) bytes of data.
64 bytes from 10.0.3.1: icmp_seq=1 ttl=64 time=0.167 ms
--- 10.0.3.1 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 0.167/0.167/0.167/0.000 ms
$ id
uid=1000(user) gid=1000(user) groups=1000(user)
$ echo $$
338
$
他の端末から：
$ gdb --pid=338
Reading symbols from /bin/bash...(no debugging symbols found)...done.
Reading symbols from /lib/x86_64-linux-gnu/libtinfo.so.5...(no debugging symbols found)...done.
Reading symbols from /lib/x86_64-linux-gnu/libdl.so.2...Reading symbols from /usr/lib/debug/.build-id/b8/95f0831f623c5f23603401d4069f9f94c24761.debug...done.
done.
Reading symbols from /lib/x86_64-linux-gnu/libc.so.6...Reading symbols from /usr/lib/debug/.build-id/aa/889e26a70f98fa8d230d088f7cc5bf43573163.debug...done.
done.
[...]
(gdb)
それでは、最初の関数を呼び出してみましょう。
(gdb) call unshare(CLONE_NEWNET|CLONE_NEWUSER)
No symbol "CLONE_NEWNET" in current context.
さて、おそらくgdbにこれを知らせる方法があります。しかし、私は専門家ではありません。
(gdb) !
$ grep CLONE_NEW /usr/include/linux/sched.h # man 2 unshare
#define CLONE_NEWNS 0x00020000 /* New mount namespace group */
#define CLONE_NEWCGROUP 0x02000000 /* New cgroup namespace */
#define CLONE_NEWUTS 0x04000000 /* New utsname namespace */
#define CLONE_NEWIPC 0x08000000 /* New ipc namespace */
#define CLONE_NEWUSER 0x10000000 /* New user namespace */
#define CLONE_NEWPID 0x20000000 /* New pid namespace */
#define CLONE_NEWNET 0x40000000 /* New network namespace */
$ find /usr/include/ -name fcntl.h |xargs grep O_WRONLY # man 2 open
/usr/include/asm-generic/fcntl.h:#define O_WRONLY 00000001
$ exit
exit
(gdb) call unshare(0x50000000)
$1 = 0
(gdb) call open("/proc/self/setgroups", 1)
$2 = 3
(gdb) call write($2,"deny",4)
$3 = 4
(gdb) call close($2)
$4 = 0
(gdb) call open("/proc/self/uid_map", 1)
$5 = 3
(gdb) call write($5, "0 1000 1", 8)
$6 = 8
(gdb) call close($5)
$7 = 0
(gdb) call open("/proc/self/gid_map", 1)
$8 = 3
(gdb) call write($8, "0 1000 1", 8)
$9 = 8
(gdb) call close($8)
$10 = 0
(gdb) quit
A debugging session is active.
Inferior 1 [process 338] will be detached.
Quit anyway? (y or n) y
Detaching from program: /bin/bash, process 338
変更されたプロセス中にeth0インターフェイスが消えることを確認できます。
$ ip -br a
lo DOWN 127.0.0.1/8
$ echo $$
338
$ id
uid=0(root) gid=0(root) groupes=0(root)
$ touch /
touch: setting times of '/': Permission denied
$ touch ~/test1
$ ls ~/test1
/home/user/test1
$ ping 10.0.3.1
connect: Network is unreachable
元に戻せません。新しいユーザーの名前空間を元の名前空間に変更することはできません。これは、プロセスが十分な権限（ルートと機能、またはSELinuxの損失なし）で実行されている場合にのみ可能です（単にunshare(CLONE_NEWNET)/使用setns(savedopenedfd)）。
もちろん、これをファイルに書き込んで、許可された実行プロセスを変更したり、gdbサブプロセスでシェル自体を変更したりすることもできます。ここの内容は、removenetwork.gdb== を使用してプロセスを変更する場合にのみ有効です。pid:gid1000:1000
更新：次のシステムコールの（およそ）戻り型を追加しました。これは、非開発環境で文句を言ういくつかのgdbバージョンを避けるべきです。
call (int)unshare(0x50000000)
call (int)open("/proc/self/setgroups", 1)
call (long)write($2,"deny",4)
call (int)close($2)
call (int)open("/proc/self/uid_map", 1)
call (long)write($5, "0 1000 1", 8)
call (int)close($5)
call (int)open("/proc/self/gid_map", 1)
call (long)write($8, "0 1000 1", 8)
call (int)close($8)
quit
例:
$ sh -c 'id; gdb --pid=$$ < removenetwork.gdb >/dev/null 2>&1; id; curl unix.stackexchange.com'
uid=1000(user) gid=1000(user) groups=1000(user)
uid=0(root) gid=0(root) groups=0(root)
curl: (6) Could not resolve host: unix.stackexchange.com
修正する：この質問が示すように、ルートがまったく必要ない場合は、ルートにマッピングする必要はありません。発生を（for ==ケース）write($XX, "0 1000 1", 8)に置き換えます。補足グループは依然として必然的に失われますが、uid / gidは変更されません（それ自体にマッピングされています）。write($XX, "1000 1000 1", 11)uid:gid1000:1000