Newsgroup: it.comp.os.linux.sys
Titolo: "Prigione" chroot

Salve.
Questo post si riallaccia ad un vecchio problema per cui avevo chiesto
aiuto qui.
<Riassunto>
Si tratta della distribuzione SuSE. Per incompatibilita' della
motherboard, una Supermicro "Super P3TDE6", non sono riuscito ad
installare la versione superiore alla 8.0. Blocco totale dopo il
"loading kernel" del CD di installazione.
</Riassunto>
Ringrazio chi, la volta scorsa, mi ha consigliato di fare a mano con
apt4rms, ma, su un PC "di sacrificio" rimediato dopo lunghe
tribolazioni, non mi funziona. Forse non sono riuscito a dare i link
degli archivi in modo giusto. Ma non e' questo il problema.
Ora che e' agosto e non c'e' (quasi) nessuno, posso "giocare" con il
sistema in questione. Sistema che chiamero' "di produzione".
Visto che il problema e' il kernel SuSE, che non su(o)pporta la MB, devo
ricompilarmi un kernel ad hoc.
Da qui il subject.
Ho "clonato" (dd) il disco di / su un altro disco (in realta' sono due
partizioni dello stesso disco) e, tramite chroot, mi "sequestro" in
quella partizione e faccio cose turche. ;-)
Fin'ora non ho avuto necessita' di fare chroot, per cui mi sono
informato in rete.
Dalla ricerca e' venuto fuori un responso tranquillizzante; molti la
usano  proprio per questo scopo (fare cose turche).
Pero' un commento mi ha messo in allarme: "faccio chroot su /xx ed e'
quasi come bootstrappare da /xx" 
E' questo "quasi" che mi preoccupa.
E' possibile che possa fare (o "make"fare ;-) ) qualche cosa per cui
esco dalla prigione di chroot?
Giocare col sistema di produzione mentre non viene usato e' un conto,
sputtanarlo, un altro..
Grazie per i commenti.
Ciao,
-- 
      Ermanno Polli   (INFN-LNF)
    user:      hostname:  subdomain:  domain:  country:
ermanno.polli    N/A        lnf         infn     it

 esco dalla prigione di chroot?
   Una volta avevo letto (non ricordo dove) come uscire dalla gabbia chroot 
fosse facile con il file-system /proc montato nella gabbia stessa, ad esempio:
mount -t proc /proc /var/chroot/proc
   Se non rendi la partizione /proc disponibile nell'ambiente di chroot, per 
uscire devi sfruttare una qualche seria falla di sicurezza del kernel, da 
quanto so.

Ermanno Polli wrote:

Ma usare vmware ? oppure 
http://user-mode-linux.sourceforge.net/
 ?
-- 
<<>><<>><<>><<>><<>><<>><<<>><<>><<>><<
Luca Paredi
Computing technical supporter              
Universita' degli Studi dell'Insubria  
<<>><<>><<>><<>><<>><<>><<<>><<>><<>><<

 Ma usare vmware ? oppure 
http://user-mode-linux.sourceforge.net/
 ?
Sono bloccato con la SuSE per via del software e di una collaborazione
che abbiamo con un centro ad Amburgo.
Anche se ho visto che sotto la Red Hat il software funziona.
..e l'istallazione pure. Almeno finche' la Red Hat era scaricabile. :-(


 wrote:

Eh.. Qualche cosa del genere la ricordavo pure io.
Non ricordo se, per compilare il kernel, ci vuole la /proc..
Dopo tutto, non e' una *vera* root.
E' proprio questa combinazione che mi rende prudente. Utilizzo la /usr,
la /etc, etc. ;-) della "prigione", ma il running system qual'e'??
Quello del boot o quello del chroot?
In altre parole, il "ps" chi vede? I processi partiti al boot (con i
file su /) oppure??
Questo non l'ho trovato, in giro.


 wrote:
 >>   Una volta avevo letto (non ricordo dove) come uscire dalla gabbia chroot
 >> fosse facile con il file-system /proc montato nella gabbia stessa, ad 
esempio:
 >>
 >> mount -t proc /proc /var/chroot/proc
 >>
 >>   Se non rendi la partizione /proc disponibile nell'ambiente di chroot, per
 >> uscire devi sfruttare una qualche seria falla di sicurezza del kernel, da
 >> quanto so.
 >
 >
 >
 > Eh.. Qualche cosa del genere la ricordavo pure io.
 > Non ricordo se, per compilare il kernel, ci vuole la /proc..
 > Dopo tutto, non e' una *vera* root.
   Non mi viene in mente alcun uso indispensabile della /proc per il
complatore o per il linker.  Mi sembrerebbe strano ne faccessero uso.
 > E' proprio questa combinazione che mi rende prudente. Utilizzo la /usr,
 > la /etc, etc. ;-) della "prigione", ma il running system qual'e'??
 > Quello del boot o quello del chroot?
   Quello del boot.
 > In altre parole, il "ps" chi vede? I processi partiti al boot (con i
 > file su /) oppure??
   Se la /proc e` montata nell'ambiente di chroot, allora ps, top e 
compagnia vedono i processi del boot piu` tutte le informazioni 
dell'ambiente che ha lanciato i processi nella gabbia.  Se la /proc non e` 
montata non vedono niente.
 > Questo non l'ho trovato, in giro.
   Beh, non e` veramente difficile, io non l'ho fatto per pigrizia, ma di
informazioni ce ne sono tante in giro.
   Sandro

    Sandro


 Prova. ;-)
   Me ne guardo.  :-)
   Sandro

    Me ne guardo.  :-)
Invece dovresti. ;-)
Si tratta di un brevetto della microsoft, come si 'evince" dal "patent".
Se l'ordine dei risutati di Google e' lo stesso del mio, al secondo hit
c'e' un articolo del Guardian, UK.
Molto istruttivo.


 Molto istruttivo.
   Ecco, mi hai mandato di traverso il gelato al tiramisu.  Cattivo!
   Sandro (non ti parlo piu`, gne gne gne!)

    Sandro (non ti parlo piu`, gne gne gne!)
So' matti, 'sti M$-ari, eh? ;-)


 wrote:
[...]
 >>   Beh, puoi prendere in considerazione di montare la /proc solo quando ti
 >>serve di usare yast nella gabbia di chroot, per poi smontarla.
 >
 >
 > Si, ma tanto lascio perdere..
   Oh, c'e` la scorciatoia ovvia che mi e` venuta in mente solo oggi:
# mount -t proc proc /var/chroot/proc && chmod -R go-rwx /var/chroot/proc
e cosi` solo root nell'ambiente di chroot puo` accedere ai dati della
/proc.  Tanto Yast lo usi da root, giusto?
 >>>Carina!
 >>>
 >>>macpolli:~ polli$ telnet 
route-add.net
 2323
 >
 >
 > [output-snip]
 >
 >>   Ah, ecco: funziona a meta`.  Il telnet riceve la connessione, la elabora
 >>(e fin qui tutto bene) ma poi la rifiuta.  Anzi, la rifiuta xinetd che
 >
 >
 > E io che pensavo fosse voulto..
   Beh, si e no.  Quel messaggio e` "voluto" per quei servizi non filtrati
da iptables ma non disponibili a tutti.  *Questo* servizio non e` filtrato
da iptables (altrimenti non avresti visto quel messaggio, iptables non e`
cosi` "gentile" da rispondere ai pacchetti filtrati con l'output di un
file), ma neanche avrebbe dovuto essere stato negato da xinetd.  Forse la
cosa ha a che fare con l'identificativo del servizio che non e` "telnet",
uffa, altre prove da fare.  Peccato che dall'unico account di shell
esterno alla mia LAN che ho disponibile non possa usare il telnet.
   Mi fai da beta-tester?  :-)
 >>   Humm, ma non dovrebbe bastare la riga "in.telnetd: ALL" in
 >>/etc/hosts.allow?  Devo rivedere alcune cose.
 >
 >
 > Ah, ma allora e' una questione di firewall...
   Beh, si, ma di firewall a livello di applicazione (xinetd), non di
pacchetti (iptables).  Altrimenti avresti avuto come risposta un:
"Unable to connect to remote host: Connection refused" se la regola di
iptables fosse stata REJECT, oppure, dopo qualche minuto di attesa, un
timeout del client telnet, se la regola di iptables fosse stata DROP.
 > E' un'altra di quelle cose che non ho affrontao, sempre per colpa del
 > centro di calcolo.. ;-)
   Eh!  Che ti perdi!  :-)
 > Mandami un mail quando vuoi un'altra prova. Non ammorbiamo di piu' 'sto
 > povero NG. ;-)
   Ma no, ma no, ammorbiamolo!  Siamo ancora in tema, direi.
 > La mailbox e' nella sig, un po' camuffata.
   Adesso la decritto.
 >>   Ecco, mi hai mandato di traverso il gelato al tiramisu.  Cattivo!
 >>
 >>   Sandro (non ti parlo piu`, gne gne gne!)
 >
 >
 > So' matti, 'sti M$-ari, eh? ;-)
   Per essere gentili.  Tra un po' ci brevetteranno l'uccello.  Mah.
   Sandro
-- 
Alessandro Selli
http://alessandro.route-add.net

    Per essere gentili.  Tra un po' ci brevetteranno l'uccello.  Mah.
Il "bello" e' che ci aveva gia' pensato l'IBM, ma poi il brevetto l'ha
fatto Bill.
All'IBM sono seri...
Piuttosto.. altri frequentatori del NG l'hanno letto?
Aspe'.. No, meglio lasciar perdere. Questo si che e' OT.


 wrote:
 >>
 >> >>   Beh, puoi prendere in considerazione di montare la /proc solo 
quando ti
 >> >>serve di usare yast nella gabbia di chroot, per poi smontarla.
 >> >
 >> >
 >> > Si, ma tanto lascio perdere..
 >>
 >>   Oh, c'e` la scorciatoia ovvia che mi e` venuta in mente solo oggi:
 >
 >
 > Ovvia?? ;-)
   E` un'ovvia cappellata, lascia perdere.  Non funziona, non si possono
cambiare i permessi della /proc (che intendevo montata nell'ambiente di
chroot, il mio era solo un esempio).  Ah, sempre fare una prova prima 
diproporla in pubblico!
 >> > So' matti, 'sti M$-ari, eh? ;-)
 >>
 >>   Per essere gentili.  Tra un po' ci brevetteranno l'uccello.  Mah.
 >
 >
 > Il "bello" e' che ci aveva gia' pensato l'IBM, ma poi il brevetto l'ha
 > fatto Bill.
 > All'IBM sono seri...
   si, certo, come che no.  *Loro* brevettano solamente cose come
l'ordinatore degli accessi alla toilette dell'aeroplano organizzato
in modo da dare maggiore priorita` ai passeggeri di prima classe...
 > Piuttosto.. altri frequentatori del NG l'hanno letto?
 > Aspe'.. No, meglio lasciar perdere. Questo si che e' OT.
   He he, meglio.
   Ciao,
   Sandro
-- 
Alessandro Selli
http://alessandro.route-add.net
AVVERTENZA: i messaggi inviati a "trappola" non mi arriveranno.
WARNING: messages sent to "trappola" will never reach me.