CHROOT 技術詳解：原理、構建環境、安全邊界與局限性

CHROOT（Change Root）是類 Unix 系統改變進程「根目錄」視圖的系統調用，將進程及其子進程限制在指定目錄樹中，實現文件系統級隔離。本文深入解析 CHROOT 原理、環境構建步驟、用戶登錄集成、安全優勢與固有局限。

核心原理

chroot(path) 系統調用（需 Root 權限）將調用進程的根目錄「/」重定向為 path。調用後：

• 進程無法訪問 path 之外的任何文件
• 路徑解析以 path 為起點（/etc/passwd 實為 $CHROOT/etc/passwd）
• 僅影響文件系統視圖，不隔離進程、網絡、內存、設備

構建 CHROOT 環境步驟

1. 目錄結構準備

CHROOT=/home/chroot
mkdir -p $CHROOT/{bin,sbin,lib,lib64,usr/bin,usr/sbin,usr/lib,usr/lib64,etc,home,dev,proc,var}

2. 複製必要二進制與庫

# 基礎 Shell 與工具
cp /bin/{bash,ls,cat,chmod,chown,cp,mv,rm,mkdir,rmdir,ps} $CHROOT/bin/
# 動態鏈接庫 (使用 ldd 檢查依賴)
for f in /bin/bash /bin/ls; do
    ldd $f | grep -o '/[^ ]*' | sort -u | xargs -I{} cp -v {} $CHROOT{}
done

3. 配置系統文件

# 最小 /etc/passwd
echo 'root:x:0:0:root:/root:/bin/bash' > $CHROOT/etc/passwd
echo 'nobody:x:65534:65534:nobody:/nonexistent:/bin/false' >> $CHROOT/etc/passwd

# /etc/group
echo 'root:x:0:' > $CHROOT/etc/group
echo 'nogroup:x:65534:' >> $CHROOT/etc/group

# DNS 解析
cp /etc/resolv.conf $CHROOT/etc/
cp /etc/nsswitch.conf $CHROOT/etc/

4. 設備與虛擬文件系統

# /dev 基礎設備
mknod -m 666 $CHROOT/dev/null c 1 3
mknod -m 666 $CHROOT/dev/zero c 1 5
mknod -m 666 $CHROOT/dev/tty c 5 0
mknod -m 666 $CHROOT/dev/urandom c 1 9

# 掛載 proc/sys (需宿主機支援)
mount --bind /proc $CHROOT/proc
mount --bind /sys $CHROOT/sys
mount --bind /dev $CHROOT/dev

用戶登錄集成方案

方案一：修改 login 程序（傳統）

在驗證密碼後、執行 Shell 前插入 chroot()。需重編譯 login，維護成本高。

方案二：PAM + chroot 模塊（推薦）

# /etc/pam.d/ssh
auth    required     pam_chroot.so

/etc/security/chroot.conf：

# 用戶組    chroot路徑
@chrootusers    /home/chroot

方案三：SSHD 內建 ChrootDirectory（OpenSSH 4.9+）

# /etc/ssh/sshd_config
Match Group sftpusers
    ChrootDirectory /home/chroot/%u
    ForceCommand internal-sftp
    X11Forwarding no
    AllowTcpForwarding no

CHROOT 無法解決的安全問題

現代替代方案：容器技術

CHROOT 是容器技術的鼻祖，但現代生產環境建議使用：

• Docker/Podman：命名空間 + cgroups + 聯合文件系統，完整隔離
• systemd-nspawn：輕量級容器，systemd 整合良好
• FreeBSD Jails：比 CHROOT 強得多的隔離（獨立 IP、獨立用戶空間）
• gVisor/Kata Containers：硬件級/用戶態內核隔離

總結

CHROOT 提供基礎文件系統隔離，適合：

• FTP/SFTP 用戶目錄限制
• 構建最小化構建環境
• 舊應用兼容性測試

不適合：多租戶強隔離、非信任代碼運行、高安全需求場景。理解其邊界，選擇合適工具。