Comment exécuter une commande dans une prison chroot pas en tant que root et sans sudo?

Question

Je suis en train de mettre en place un chroot minimal et je veux éviter d'avoir sudo ou su dedans mais toujours exécuter mes processus en tant que non-root. C'est un peu une astuce en tant que racine de requins chroot en cours d'exécution. Je pourrais écrire un programme qui fait cela qui ressemblerait à quelque chose comme:

uid = LookupUser(args[username]) // no /etc/passwd in jail 
chroot(args[newroot]) 
cd("/") 
setuids(uid) 
execve(args[exe:]) 

Est-ce que mon meilleur pari ou est-il un outil standard qui fait ça pour moi?

---

je roulais mon here:

Answer 1

Si vous invoquez chroot depuis la racine, l'option chroot vous aidera. La commande chroot a l'option --userspec=USER:GROUP pour s'exécuter sous UID/GID non-root. D'ailleurs, l'option '--userspec' est d'abord introduite dans coreutils-7.5 selon un référentiel git git://git.sv.gnu.org/coreutils.

Answer 2

fakechroot, en combinaison avec fakeroot, vous permettra de le faire. Ils feront en sorte que tous les programmes en cours d'exécution agissent comme s'ils étaient exécutés dans un chroot en tant que root, mais ils fonctionneront réellement comme vous. Voir aussi fakechroot's man page.

Answer 3

Vous pouvez utiliser les capacités linux pour donner à votre binaire la possibilité d'appeler chroot() sans être root. Par exemple, vous pouvez faire cela au binaire chroot. Comme non-root, normalement vous obtiendrez ceci:

$ chroot /tmp/ 
chroot: cannot change root directory to /tmp/: Operation not permitted 

Mais une fois que vous exécutez la commande setcap:

sudo setcap cap_sys_chroot+ep /usr/sbin/chroot 

Il vous permettra de faire l'appel chroot.

Je ne vous recommande pas de faire ceci à chroot du système, que vous le faites plutôt à votre propre programme et appelez le chroot. De cette façon, vous avez plus de contrôle sur ce qui se passe, et vous pouvez même abandonner le privilège cap_sys_chroot après l'avoir appelé, ainsi les appels successifs à chroot dans votre programme échoueront.

Answer 4

Un chrooter personnalisé n'est pas du tout difficile à écrire:

#define _BSD_SOURCE 
#include <stdio.h> 
#include <unistd.h> 
const char newroot[]="/path/to/chroot"; 
int main(int c, char **v, char **e) { 
    int rc; const char *m; 
    if ((m="chdir" ,rc=chdir(newroot)) == 0 
     && (m="chroot",rc=chroot(newroot)) == 0 
     && (m="setuid",rc=setuid(getuid())) == 0) 
      m="execve", execve(v[1],v+2,e); 
    perror(m); 
    return 1; 
} 

font que suid root et appartenant à un groupe personnalisé vous ajoutez votre utilisateur privilégié (et pas d'accès « autre »).

Answer 5

Vous pouvez utiliser Linux Containers pour créer un environnement chroot qui est dans un espace de noms totalement différent (IPC, système de fichier, et même réseau)

Il y a même LXD qui est capable de gérer la création de conteneurs à base d'images et configurez-les pour qu'ils s'exécutent en tant qu'utilisateurs non privilégiés afin que si le code non fiable parvient à échapper d'une façon ou d'une autre au conteneur, il ne pourra exécuter que du code en tant qu'utilisateur non privilégié et non en tant que racine du système.

Recherche « Linux Containers » et « LXD » sur votre moteur de recherche préféré;)