ルートがエスケープできないchrootを生成するためにLinuxのファイルシステム内でchdir（".."）を使用する方法は？

Question

上記の特定のエスケープ技術を回避するには、ロックしてchdir("..")再実行する機能を放棄するだけです。エスケープ技術を再度呼び出す必要があるため、これをブロックするだけでは機能しません。chroot(2)/var/mychrootchroot()

Linux機能を使用してこれを行うことができます。CAP_SYS_CHROOT必要な機能を削除するだけですchroot(2)。

たとえば、

outside# chroot /var/mychroot
inside# capsh --drop=cap_sys_chroot --
inside# ./escape_chroot
chroot(baz): Operation not permitted

（chroot内の2番目のプロンプトは生成されたシェルから来ますcapsh。たとえば、を使用して別のコマンドを実行させることができますcapsh --drop=cap_sys_chroot -- -c 'exec ./escape_chroot'。）

しかし、より良い技術は、予防できないpivot_root他の多くの攻撃を防ぐことができるためにのみ使用することです。chroot(2)

マウントポイントの場合にのみ機能すると言いましたが、/var/mychroot単にバインドマウントしてマウントポイントにすることができます。

pivot_root刑務所を作成するにはマウントネームスペースを作成する必要があることに注意してください。それ以外の場合は、ファイルシステム内のすべてのプロセスのルートディレクトリを変更しようとします。これはあなたが望むものとは異なる可能性が高いです。

したがって、全体の順序は次のようになります。

outside# unshare -m
outside# mount --bind /var/mychroot /var/mychroot
outside# cd /var/mychroot
outside# mkdir old_root
outside# pivot_root . old_root
limbo# exec chroot .
inside# umount /old_root

（やはり、これらのコマンドの多くは新しいシェルを生成します。それはそれ自体で行われます。unshareコマンドを追加のchroot引数として渡すことでこれらの問題を解決できます。場合によってはスクリプト全体を渡すこともsh -c '...'できます。）

この時点で、あなたは別のマウントネームスペースの刑務所の中にいます。これが単に元のルート（別のデバイスやループデバイスのマウントではない）であるというpivot_root事実は実際には動作を妨げません。/var/mychrootマウントを中央にバインドします。

エスケープコードを実行すると、刑務所が期待どおりに機能することがわかります（エスケープコードに別の方法で指定されていますが）。

inside# touch /inside_jail
inside# ./escape_chroot
Exploit seems to work. =)
inside# ls -ld /inside_jail /old_root
-rw-r--r--.  1 0 0    0 Jan  5 23:45 /inside_jail
dr-xr-xr-x. 20 0 0 4096 Jul  5 23:45 /old_root

ご覧のように、まだ刑務所の中にあります...エクスプロイトコードは少し素朴で、（chroot、chdir）仕事が成功すれば刑務所を脱出するのに十分であると仮定していますが、そうではありません。。

chrootしたがって、この技術を使用して内部タスクをブロックするためにLinux機能を使用する必要がなく、より優れた刑務所を作成することを検討してください（たとえば、刑務所でchroot実際にやりたいことよりも重要な追加機能を作成するなど）。

Answer 1