chroot - run command or interactive shell with special root directory
以制作一个只有 bash 和 ls 两条命令的隔离环境为例。实践环境 Aliyun ubuntu18.04

制作一个 chroot 隔离环境

创建一个 new root, 并切换到 jail 目录

1. mkdir jail
2. cd jail

在 jail 下创建 bin 目录

mkdir bin

复制 bin 和 bash 到 jail/bin

cp -v /bin/{bash,ls} ./bin

将 /bin/bash 和 /bin/ls 的依赖复制到 jail 对应的目录

1. ldd /bin/bash

root@aliyun:bin# ldd /bin/bashlinux-vdso.so.1 (0x00007ffd9b6b8000)libtinfo.so.5 => /lib/x86_64-linux-gnu/libtinfo.so.5 (0x00007feb160d5000)libdl.so.2 => /lib/x86_64-linux-gnu/libdl.so.2 (0x00007feb15ed1000)libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007feb15ae0000)/lib64/ld-linux-x86-64.so.2 (0x00007feb16619000)

2. 在 jail 这个 new root 目录下创建 lib/x86_64-linux-gnu 和 lib64 目录
   mkdir -p lib/x86_64-linux-gnu
mkdir lib64
3. 复制 /bin/bash 的依赖库
   cp /lib/x86_64-linux-gnu/libtinfo.so.5 .lib/x86_64-linux-gnu/
cp /lib/x86_64-linux-gnu/libdl.so.2 .lib/x86_64-linux-gnu/
cp /lib/x86_64-linux-gnu/libc.so.6 .lib/x86_64-linux-gnu/
cp /lib64/ld-linux-x86-64.so.2 .lib64
4. 复制 /bin/ls 的依赖库

root@aliyun:bin# ldd /bin/lslinux-vdso.so.1 (0x00007ffe6f32b000)libselinux.so.1 => /lib/x86_64-linux-gnu/libselinux.so.1 (0x00007ff1e7296000)libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007ff1e6ea5000)libpcre.so.3 => /lib/x86_64-linux-gnu/libpcre.so.3 (0x00007ff1e6c33000)libdl.so.2 => /lib/x86_64-linux-gnu/libdl.so.2 (0x00007ff1e6a2f000)/lib64/ld-linux-x86-64.so.2 (0x00007ff1e76e0000)libpthread.so.0 => /lib/x86_64-linux-gnu/libpthread.so.0 (0x00007ff1e6810000)

cp /lib/x86_64-linux-gnu/libselinux.so.1 ./lib/x86_64-linux-gnu/
cp /lib/x86_64-linux-gnu/libpcre.so.3 ./lib/x86_64-linux-gnu/
cp /lib/x86_64-linux-gnu/libpthread.so.0 ./lib/x86_64-linux-gnu/

jail 这个 new root 构建完毕

执行 chroot jail /bin/bash

如上图所示，chroot jail /bin/bash 进入了构建的隔离环境。执行 ls 可以查看文件。因为只构建了 bash 和 ls 两条命令，其余的命令无法执行。

chroot 是啥？

通过上面的实践 chroot 一个基本功能就是可以切换到一个隔离的环境，与宿主机进行隔离。不错，这其实也就是 docker 的功能。只不过 docker 功能更强大。

Reference

1. vdso
2. chroot examples
3. chroot-vitualization