本文为笔者从零基础学习系统安全相关内容的笔记，如果您对系统安全、逆向分析等内容感兴趣或者想要了解一些知识，欢迎关注。本系列文章将会随着笔者在未来三年的读研过程中持续更新，由于笔者现阶段还处于初学阶段，不可避免参照复现各类书籍内容，如书籍作者认为侵权请告知，笔者将立刻删除。强调本系列所有内容仅作为学习研究使用，作者对此文章中的代码造成的任何后果不负法律责任。

前文链接
[系统安全] PE文件格式详解1
[系统安全] PE文件格式详解2
[系统安全] Windbg Preview调试记录
[系统安全]《黑客免杀攻防》MFC逆向基础实战
[系统安全] windows下C++编写第一个加壳程序
[系统安全] PE文件格式分析实战基础—分析helloworld文件
[系统安全]《黑客免杀攻防》逆向基础之经典脱壳基础
[系统安全] 反病毒与免杀原理概论
[系统安全] 恶意代码分析实战基础之必备知识点和常用工具记录
[系统安全] Windows逆向必备知识、逆向分析小实战
[系统安全] 逆向分析之高级动态分析技术笔记

---

容器的底层原理

rootfs做文件系统，namespace做隔离，cgroup做cpu限制。

rootfs(根文件系统)

进程运行后的根目录就叫根文件系统rootfs。对于操作系统，其rootfs包含了操作系统运行需要的文件和目录；对镜像来说，它运行所需要的依赖和一些应用被打包成rootfs。

一个容器运行后的根目录就是它的rootfs，这个根文件系统会包含和正常宿主机一样的一些文件，例如/bin、/etc/等。在容器中执行的/bin/bash就是容器的rootfs的/bin/bash，它和宿主机的/bin/bash是没有任何关联的。

chroot

chroot的作用是改变进程的根目录，使它不能访问该目录之外的其他文件。

chroot <newroot> [<command><arg>...]
newroot:	要切换到新的root目录
command:	切换root目录后要执行的命令
示例:	sudo chroot /home/jgc/lab/rootfs_lab /bin/bash

chroot实验

创建一个lab文件夹作为实验目录，在其中创建rootfs_lab作为要实验的根文件系统目录，再创建/bin目录，并把ls和bash两个二进制可执行文件拷贝过来。

mkdir lab
cd lab
mkdir rootfs_lab
cd rootfs_lab创建bin目录，并把主要文件拷贝过来
mkdir bin
sudo cp /bin/ls ./bin/
sudo cp /bin/bash ./bin/

同时要把两个可执行文件依赖的动态库拷贝到相同的目录

查看ls和bash文件依赖的动态库文件
ldd /bin/bash
ldd /bin/ls

拷贝过来之后用tree命令查看，如下就是制作的将来要以rootfs_lab为根目录的目录结构。

使用chroot命令把根文件系统目录进行修改

chroot ./rootfs_lab /bin/bash

这样就把当前进程的根目录改成了/rootfs_lab，并且进入新的rootfs目录后执行了/bin/bash命令。这是这个进程cd /的时候就到了rootfs_lab这个根目录，并且cd ..也出不去。

busybox

busybox是一个集成了很多linux命令和工具的软件，适用于嵌入式设备、移动设备(安卓)、小型linux(alpine linux)。

busybox实验

首先编译安装一个busybox

yum -y install wget make gcc perl glibc-static ncurses-devel libgcrypt-develwget http://busybox.net/downloads/busybox-1.21.0.tar.bz2tar -jxvf busybox-1.21.0.tar.bz2mv busybox-1.21.0 busyboxcd busyboxmake menuconfig
把busybox编译成静态二进制、不用共享库
Settings --> Build Options --> [*] Build BusyBox as a static binary (no shared libs) 按Y选中make# make install	这里好像不需要安装，用编译好的_install目录就可以了

编译安装后会在当前顶层目录下生成一个_install目录，其中就包含了bin等目录，并把一些二进制程序装在里面。把它拷贝出来mv _install ../busybox2

接下来用chroot命令切换根文件系统chroot busybox2 /bin/bash

---

Namespace

linux中的namespace的主要作用是做了一层资源的隔离，使得在namespace中的进程从外观上看拥有自己独立的资源。

chroot是把某个目录修改成为根目录。namespace在此基础上提供了对uts、ipc、mount、pid、network、user等的隔离机制。

linux管理namespace的API

clone():	根据传递特定的标志flag创建对应的新的namespace并将子进程添加为其成员。flag值如下表格
setns():	允许进程加入一个已存在的namespace中。
unshare():	允许进程取消其执行上下文，可以利用此系统调用来让当前的进程移动至一个新的namespace中。

分类	系统调用参数	功能
Mount Namespaces	CLONE_NEWNS	隔离进程的挂载点视图
UTS Namespaces	CLONE_NEWUTS	隔离nodename\domainname
IPC Namespaces	CLONE_NEWIPC	隔离IPC
PID Namespaces	CLONE_NEWPID	隔离进程PID，容器内进程都以1开始编号
Network Namespaces	CLONE_NEWNET	隔离网络设备、ip、端口
User Namespaces	CLONE_NEWUSER	隔离用户组id

namespace实验—使用unshare()进行namespace的隔离

pid namespace是用来隔离进程，在不同的pid namespace中进程可以拥有相同的pid号。使用pid namespace可以让每个容器中的主进程为1号进程，而容器中的进程在宿主机上拥有不同的pid。

# 下面命令是创建一个bash进程，并新建一个pid namespace
unshare --pid --fork --mount-proc /bin/bash--mount-proc参数说明
Just  before running the program, mount the proc filesystem at mountpoint (default is /proc).  This is useful when creating a new pid namespace.  It also implies creating a new mount names‐pace since the /proc mount would otherwise mess up existing programs on the system.  The new proc filesystem is explicitly mounted as private (by MS_PRIVATE|MS_REC).

再输入命令ps -ef查看系统上的运行的所有进程，发现这个namespace的进程从1开始。

当前窗口sleep 1000 &在后台sleep，然后查看proc文件系统中的namespace信息。

再新开一个窗口执行同样操作，可以看到两个窗口的pid是不同的，即被pid namespace隔离开。

---

也可以用C语言通过clone系统调用的方式代码实现上面的隔离操作，重点在于clone系统调用时传参的flag的值。

int clone(int (*fn)(void *), void *child_stack,int flags, void *arg, .../* pid_t *ptid, void *newtls, pid_t *ctid */ );
fn:	clone生成的子进程会调用fn指定的函数，参数由arg指定
child_stack:	生成的子进程的栈空间
flag参数描述父子进程如何共享资源

int execv(const char *path, char *const argv[]);
path:	要执行的新程序的路径
argv:	传递给新进程的命令行参数

---

CGroup

全称Control Group，是容器实现环境隔离的两种关键技术之一。

CGroup的所有操作都是基于cgroup virtual filesystem，这个文件系统一般挂载再/sys/fs/cgroup目录下，通过ls查看目录信息。

CGroup限制cpu实验

cd /sys/fs/cgroup/cpu
mkdir A

创建文件夹A后，会自动在目录下面创建一些文件。

准备一个耗费cpu的程序

#include <stdio.h>
#include <stdbool.h>
int main(){int n = 0;while (true){n++;if (n > 1000000){n = 0;}}return 0;
}

多线程后台启动

./a -j3 &

top命令查看占用cpu情况，发现a程序占用很高。

把进程号放到cgroup.procs文件中。

sudo sh -c "echo 4357 > cgroup.procs"

cgroup提供了cpu.cfs_quota_us和cpu.cfs_period_us两个参数限制cpu占用上限。

cpu.cfs_quota_us表示运行周期，单位微妙，默认10^6us

cpu.cfs_period_us表示运行周期内这个cgroup组所有进程可运行的时间总总量，单位微妙，默认值-1，即不设置上限。

设置cpu.cfs_quota_us，这是top命令的结果就是a进程的cpu占用率低了下来。

sudo sh -c "echo 10000 > cpu.cfs_quota_us"
恢复	sudo sh -c "echo -1 > cpu.cfs_quota_us"

---

多组CGroup分配cpu实验

cpu.shares用来设置各个cgroup使用cpu的相对比例，默认值1024。但是只有当系统cpu被沾满的情况下这个比例才会起作用。

新建一个新的Group，为B

cd /sys/fs/cgroup/cpu
mkdir B

准备同样的C语言程序，编译生成b文件。

启动两个程序，./a -j3 &，./b -j3 &，此时进程a和b都是cup占用100%。

把a进程加到A目录下，sudo sh -c "echo 4357 > cgroup.procs"

把b进程加到B目录下，sudo sh -c "echo 5093 > cgroup.procs"，注意切换目录。此时两个进程cpu占用率也都是100。

A目录下设置cpu.shares为512，B的默认1024

sh -c "echo 512 > cpu.shares"

理论情况下进程a的占用率应该降下来，但是这里不知道因为什么没有下来，可能是因为写的程序的问题或者没有真正占用很大的cpu。

网络虚拟

创建名为net1的net namespace，并将veth1加入到net1中

# 创建一个名为net1的net namespace
sudo ip netns add net1
# 创建veth对veth1-veth2
sudo ip link add veth1 type veth peer name veth2
# 把一端veth1放到名为net1的net namspace
sudo ip link set veth1 netns net1
# 给veth1配置ip并启动
sudo ip netns exec net1 ip addr add 192.168.1.5/24 dev veth1
sudo ip netns exec net1 ip link set veth1 up
# 查看veth1是否正常
sudo ip netns exec net1 ifconfig

创建名为net2的net namespace，并将veth3加入到net2中

# 创建一个名为net2的net namespace
sudo ip netns add net2
# 创建veth对veth3-veth4
sudo ip link add veth3 type veth peer name veth4
# 把一端veth3放到名为net2的net namspace
sudo ip link set veth3 netns net2
# 给veth3配置ip并启动
sudo ip netns exec net2 ip addr add 192.168.1.6/24 dev veth3
sudo ip netns exec net2 ip link set veth3 up
# 查看veth1是否正常
sudo ip netns exec net2 ifconfig

此时两个veth1和veth3都有ip，但是ping不同。

把veth2和veth4加入到bridge中

sudo brctl addbr br0
sudo ip link set dev veth2 master br0
sudo ip link set dev veth4 master br0
sudo ip addr add 192.168.1.7/24 dev br0
sudo ip link set veth2 up
sudo ip link set veth4 up
sudo ip link set br0 up

ping测试，用net1去ping网络net2的veth3，可以ping通。

sudo ip netns exec net1 ping 192.168.1.6 

网络连接图示如下