chroot

改变程序执行时所参考的根目录位置

CHROOT就是Change Root，也就是改变程序执行时所参考的根目录位置。CHROOT可以增进系统的安全性，限制使用者能做的事。

目录架构

/bin

/sbin

/usr/bin

/home

或

/hell/

/hell/bin

/hell/usr/bin

/hell/home

作用

1.限制被CHROOT的使用者所能执行的程式，如SetUid的程式，或是会造成 Load 的Compiler等等。

2.防止使用者存取某些特定档案，如/etc/passwd。

3.防止入侵者/bin/rm -rf /。

4.提供Guest服务以及处罚不乖的使用者。

5.增进系统的安全。

建立环境

1.chroot()这个function：

chroot(PATH)这个function必须具有 root的身份才能执行，执行后会将根目录切换到PATH 所指定的地方。

2.login的过程：

使用者无论是从console或是telnet进入，都必须执行/usr/bin/login来决定是否能进入系统，而login所做的动作大致是：

(1)印出login的提示符号，等待使用者输入密码。

(2)检查密码是否正确，错误的话回到(1)。

(3)正确的话以setuid()来改变身份为login_user。

(4)以exec()执行user的shell。

因此我们必须先修改/usr/bin/login的source code，让login在(2)到(3)的中间执行chroot()的动作，已达到CHROOT的目的，并以修改过的login　替代原先的/usr/bin/login。

(5)稍微好一点的方法必须在做chroot()之前检查login　user的group，如果有某个特定的group(如chrootgrp)才执行chroot()，不然所有的人都会被chroot了。

3.建立CHROOT所需的环境：

(1)必须具备的目录：(假设为希望建立的路径)

(2)仔细审查/etc中的档案，需具备执行程式时所需的档案，如passwd，groups，hosts，resolv.conf等等。

(3)拿掉不想给的执行档，如su，sudo等SetUid的程式，以及compiler甚至telnet。

(4)测试一下，以root身份执行 chroot /bin/sh即可进入CHROOT环境中。(man chroot for details)

4.在console或是以telnet进入试试。 > 　5.Username/Password Resolve的考量：

在CHROOT时你可能不希望被CHROOT的使用者(以後简称CHROOTer)能拿到/etc/passwd或是/etc/shadow等档案，尤其是有root密码的。以下有三种情形：

(1)/etc/passwd跟 /etc/passwd相同：

这是最差的做法，因为一来被CHROOTer有机会得到root的encryptedpassword，二来要保持/etc/passwd及/etc/passwd的同步性是个大问题。因为/usr/bin/login参考的是/etc/passwd，可是一旦CHROOTer被chroot後执行passwd时，他所执行的passwd所更改的将是/etc/passwd。

(2)/etc/passwd跟/etc/passwd不同：

你可以把/etc/passwd中的重要人物(如root)的密码拿掉，然後以比较复杂的方法修改/usr/bin/login：

此法的好处是你可以将/etc/passwd跟/etc/passwd分开来。/etc/passwd只影响CHROOTer在login时所使用的username，其他如password甚至uid，gid，shell，home等等都是参考/etc/passwd的。缺点是你其他的daemon如ftpd，httpd都必须做相同的修改才能正确取的CHROOTer的资讯，而且你在把一个user加入或移出chroot_group时都必须更改/etc/passwd跟/etc/passwd。

(3)使用NIS/YP：

此法大概是最简单，且麻烦最少的了。因为一切的user information都经过NIS Bind来取得，不但可以保护住root的密码，也省去/etc/passwd跟/etc/passwd同步管理上的问题。不只是passwd，连其它如groups，hosts，services，aliases等等都可以一并解决。

2.将阿帕奇设定在chroot环境下

建立/chroot目录

建立一些必需的子目录

在我们的chroot建立/dev/null

将阿帕奇拷贝到/chroot目录中

拷贝必需的二进制文件

确定哪些库是必需的——这取决于你编译时内建了哪些模块

将需要的库拷贝到chroot目录

拷贝网络连接所需要的函数库

拷贝必需的/etc下的文件到chroot

需要考虑

1.执行档的同步性：