노트 템플릿 시리즈

BOX_IMAGE = "bento/ubuntu-18.04" HOST_NAME = "ubuntu1804" $pre_install = <<-SCRIPT echo ">>>> pre-install <<<<<<" sudo apt-get update && sudo apt-get -y install gcc && sudo apt-get -y install make && sudo apt-get -y install pkg-config && sudo apt-get -y install libseccomp-dev && sudo apt-get -y install tree && sudo apt-get -y install jq && sudo apt-get -y install bridge-utils echo ">>>>> install docker <<<<<<" sudo apt-get -y install apt-transport-https ca-certificates curl gnupg lsb-release > /dev/null 2>&1 && sudo mkdir -p /etc/apt/keyrings && sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg && echo \ "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \ $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null 2>&1 && sudo apt-get update && sudo apt-get -y install docker-ce docker-ce-cli docker-compose-plugin > /dev/null 2>&1 SCRIPT Vagrant.configure("2") do |config| config.vm.define HOST_NAME do |subconfig| subconfig.vm.box = BOX_IMAGE subconfig.vm.hostname = HOST_NAME subconfig.vm.network :private_network, ip: "192.168.104.2" subconfig.vm.provider "virtualbox" do |v| v.memory = 1536 v.cpus = 2 end subconfig.vm.provision "shell", inline: $pre_install end end

docker run -it busybox

# chrppt [옵션] NEWROOT 커맨드 mkdir myroot chroot myroot /bin/sh ## sh 복사 which sh ldd /bin/sh mkdir -p myroot/bin cp /bin/sh myroot/bin/ mkdir -p myroot/{lib64,lib/x86_64-linux-gnu} cp /lib/x86_64-linux-gnu/libc.so.6 myroot/lib/x86_64-linux-gnu/ cp /lib64/ld-linux-x86-64.so.2 myroot/lib64 # ls 복사 which ls ldd /bin/ls cp /bin/ls myroot/bin/ cp /lib/x86_64-linux-gnu/{libselinux.so.1,libc.so.6,libpcre.so.3,libdl.so.2,libpthread.so.0} myroot/lib/x86_64-linux-gnu/ cp /lib64/ld-linux-x86-64.so.2 myroot/lib64/ ## cd로 chroot에서 벗어날 수 없음 ## ps 복사 wget https://raw.githubusercontent.com/sam0kim/container-internal/main/scripts/chroot_ps.sh mount -t proc proc /proc # mount: /proc: mount point does not exists mkdir /proc ,mount -t proc proc /proc ps unmount /tmp/myroot/proc

mkdir nginx-root docker export $(docker create nginx) | tar -C nginx-root -xvf - tree -L 1 nginx-root/ #nginx-root/ #├── bin -> usr/bin #├── boot #├── dev #├── docker-entrypoint.d #├── docker-entrypoint.sh #├── etc #├── home #├── lib -> usr/lib #├── lib64 -> usr/lib64 #├── media #├── mnt #├── opt #├── proc #├── root #├── run #├── sbin -> usr/sbin #├── srv #├── sys #├── tmp #├── usr #└── var chroot nginx-root /bin/sh nginx -g "daemon off;" # chroot curl localhost:80 # root(통신이 됨!)

#include <sys/stat.h> #include <unistd.h> int main(void) { mkdir(".out", 0755); chroot(".out"); chdir("../../../../../"); chroot("."); return execl("/bin/sh", "-i", NULL); }

# gcc -o myroot/escape_chroot escape_chroot.c ls

unshare --mount /bin/sh mkdir new_root mount -t tmpfs none new_root

mkdir -p tools/usr/bin cp /usr/bin/which tools/usr/bin/ mkdir -p tools/{bin,lib64,lib/x86_64-linux-gnu} cp /bin/rm tools/bin/ cp /lib/x86_64-linux-gnu/libc.so.6 tools/lib/x86_64-linux-gnu/; cp /lib64/ld-linux-x86-64.so.2 tools/lib64 mkdir -p rootfs/{container,work,merge} mount -t overlay overlay -o lowerdir=tools:myroot2,upperdir=rootfs/container,workdir=rootfs/work rootfs/merge tree -L 2 myroot/{bin,usr}; tree -L 2 rootfs/merge/{bin,usr}; umount /tmp/rootfs/merge

# OverlayFS 파일 시스템을 마운트하는 명령어 # mount 명령어를 사용하여 파일 시스템을 마운트합니다 mount -t overlay overlay \ # 파일 시스템 유형을 overlay로 지정합니다 -o lowerdir=tools:myroot2,upperdir=rootfs/container,workdir=rootfs/work \ # OverlayFS 마운트 옵션: # lowerdir=tools:myroot2 # - 읽기 전용으로 결합할 하위 디렉토리들입니다. 여러 디렉토리를 :로 구분합니다. # - 여기서는 tools와 myroot2 디렉토리의 내용을 읽기 전용으로 결합합니다. # # upperdir=rootfs/container # - 읽기 및 쓰기 가능한 상위 디렉토리입니다. # - 여기서 파일 시스템의 변경 사항이 저장됩니다. # # workdir=rootfs/work # - OverlayFS의 내부 작업을 처리하기 위해 필요한 작업 디렉토리입니다. rootfs/merge # 결합된 파일 시스템을 마운트할 대상 디렉토리입니다 # - 결합된 파일 시스템은 rootfs/merge 디렉토리에 마운트됩니다 rootfs/merge ├── tools (읽기 전용) ├── myroot2 (읽기 전용) └── rootfs/container (읽기 및 쓰기 가능)

# unshare [옵션] [프로그램 [arguments ... ]] # -m --mount # -u --uts # -i --ipc # -p --pid # -n --net # -U --user ls -al /proc/$$/ns readlink /proc/$$/ns/mnt lsns -p 1 lsns -t mnet -p 1 # -t: 네임스페이스 타입 pid, mnt, uts # -p: 조회할 프로세스 아이디 unshare -m lsns -p $$