linux chroot命令

chroot命令用于更改根目录，将指定的目录作为新的根目录，从而创建一个隔离的运行环境。这个功能常用于系统恢复、软件测试、安全隔离等场景。

语法格式

chroot [选项] 新根目录 [命令]

命令功能

将指定的目录更改为进程的根目录
创建隔离的文件系统环境
用于系统修复和恢复
软件测试和兼容性验证
安全沙箱环境

📝 重要说明

chroot需要root权限才能执行
chroot环境不是完全安全的隔离，不能替代容器或虚拟机
chroot环境中的进程仍然可以看到所有进程
需要复制必要的系统文件和设备节点到新根目录
退出chroot环境使用exit命令或Ctrl+D

参数说明

参数	说明
`新根目录`	要作为新根目录的路径（必填）
`命令`	在新根目录环境中执行的命令。如果不指定，默认执行`SHELL`环境变量指定的shell，或`/bin/sh`
`--userspec=用户:组`	指定在新环境中使用的用户和组
`--groups=组列表`	指定辅助组列表
`--skip-chdir`	不切换到新根目录作为工作目录
`--help`	显示帮助信息
`--version`	显示版本信息

常用示例

示例1：创建基本chroot环境

创建一个简单的chroot环境：

# 创建chroot目录
$ sudo mkdir -p /chroot/test

# 复制必要的命令和库文件
$ sudo mkdir -p /chroot/test/{bin,lib,lib64}

# 复制bash和ls命令
$ sudo cp /bin/bash /chroot/test/bin/
$ sudo cp /bin/ls /chroot/test/bin/

# 复制依赖的库文件（使用ldd查看依赖）
$ ldd /bin/bash
    linux-vdso.so.1 (0x00007fff8b9fe000)
    libtinfo.so.6 => /lib/x86_64-linux-gnu/libtinfo.so.6 (0x00007f8b5a4e0000)
    libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f8b5a0ef000)
    /lib64/ld-linux-x86-64.so.2 (0x00007f8b5a6a4000)

$ sudo cp /lib/x86_64-linux-gnu/libtinfo.so.6 /chroot/test/lib/
$ sudo cp /lib/x86_64-linux-gnu/libc.so.6 /chroot/test/lib/
$ sudo cp /lib64/ld-linux-x86-64.so.2 /chroot/test/lib64/

# 进入chroot环境
$ sudo chroot /chroot/test /bin/bash
bash-5.1# ls
bash-5.1# pwd
/
bash-5.1# exit

示例2：创建完整chroot环境

使用debootstrap创建完整的Debian/Ubuntu chroot环境：

# 安装debootstrap工具
$ sudo apt install debootstrap

# 创建Ubuntu 20.04 chroot环境
$ sudo mkdir /chroot/ubuntu2004
$ sudo debootstrap focal /chroot/ubuntu2004 http://archive.ubuntu.com/ubuntu

# 进入chroot环境
$ sudo chroot /chroot/ubuntu2004

# 在chroot环境中安装软件
root@host:/# apt update
root@host:/# apt install vim git curl

# 退出
root@host:/# exit

示例3：使用chroot修复系统

当系统无法启动时，使用Live CD或USB启动，然后用chroot修复：

# 从Live系统挂载原系统分区
$ sudo mkdir /mnt/original
$ sudo mount /dev/sda1 /mnt/original  # 假设原系统在/dev/sda1

# 挂载必要的文件系统
$ sudo mount --bind /dev /mnt/original/dev
$ sudo mount --bind /proc /mnt/original/proc
$ sudo mount --bind /sys /mnt/original/sys

# 进入chroot环境
$ sudo chroot /mnt/original

# 现在可以修复系统了
root@host:/# grub-install /dev/sda
root@host:/# update-grub
root@host:/# apt install --reinstall broken-package

# 退出并卸载
root@host:/# exit
$ sudo umount /mnt/original/{dev,proc,sys}
$ sudo umount /mnt/original

示例4：指定用户执行命令

使用--userspec参数指定用户：

# 在chroot环境中以特定用户身份执行命令
$ sudo chroot --userspec=testuser:testgroup /chroot/test /bin/bash

# 或者执行单个命令
$ sudo chroot --userspec=1000:1000 /chroot/test /bin/ls -la

示例5：不切换工作目录

使用--skip-chdir参数：

# 默认情况下，chroot会切换到新根目录
$ sudo chroot /chroot/test /bin/bash
bash-5.1# pwd
/

# 使用--skip-chdir不切换工作目录
$ sudo chroot --skip-chdir /chroot/test /bin/bash -c "pwd"
/home/user  # 保持原工作目录

示例6：在脚本中使用chroot

创建自动化chroot环境脚本：

#!/bin/bash

CHROOT_DIR="/chroot/myenv"

# 创建chroot目录结构
create_chroot() {
    echo "创建chroot环境..."
    sudo mkdir -p "$CHROOT_DIR"/{bin,lib,lib64,etc,home,usr,var,tmp}

    # 复制基本命令
    for cmd in bash ls cp mv rm cat echo; do
        if [ -f "/bin/$cmd" ]; then
            sudo cp "/bin/$cmd" "$CHROOT_DIR/bin/"
            copy_libs "/bin/$cmd"
        fi
    done

    # 复制基本配置文件
    sudo cp /etc/passwd /etc/group "$CHROOT_DIR/etc/"
}

# 复制库文件依赖
copy_libs() {
    local binary="$1"
    ldd "$binary" | grep "=> /" | awk '{print $3}' | while read lib; do
        if [ -f "$lib" ]; then
            sudo cp "$lib" "$CHROOT_DIR/lib/"
        fi
    done
}

# 进入chroot环境
enter_chroot() {
    echo "进入chroot环境..."
    sudo chroot "$CHROOT_DIR" /bin/bash
}

# 主程序
case "$1" in
    create)
        create_chroot
        ;;
    enter)
        enter_chroot
        ;;
    *)
        echo "用法: $0 {create|enter}"
        ;;
esac

示例7：测试软件兼容性

使用chroot测试软件在不同环境下的兼容性：

# 创建不同版本的chroot环境用于测试
$ sudo mkdir /chroot/{centos7,ubuntu1804,debian10}

# 分别安装不同发行版
$ sudo yum --installroot=/chroot/centos7 groupinstall "Development Tools"
$ sudo debootstrap bionic /chroot/ubuntu1804
$ sudo debootstrap buster /chroot/debian10

# 测试软件在不同环境中的编译
$ sudo chroot /chroot/centos7 /bin/bash -c "cd /source && ./configure && make"
$ sudo chroot /chroot/ubuntu1804 /bin/bash -c "cd /source && ./configure && make"
$ sudo chroot /chroot/debian10 /bin/bash -c "cd /source && ./configure && make"

示例8：安全隔离应用

使用chroot运行不受信任的应用程序：

#!/bin/bash

# 为不受信任的应用创建隔离环境
ISOLATED_DIR="/var/isolated/app1"

# 创建隔离环境
sudo mkdir -p "$ISOLATED_DIR"
sudo chown root:root "$ISOLATED_DIR"
sudo chmod 755 "$ISOLATED_DIR"

# 只复制必要的文件
sudo mkdir -p "$ISOLATED_DIR"/{bin,lib,app}
sudo cp /bin/sh "$ISOLATED_DIR/bin/"
sudo cp /usr/bin/python3 "$ISOLATED_DIR/bin/"

# 复制依赖库
copy_dependencies() {
    for bin in "$ISOLATED_DIR/bin"/*; do
        ldd "$bin" 2>/dev/null | grep "=> /" | awk '{print $3}' | while read lib; do
            sudo cp --parents "$lib" "$ISOLATED_DIR"
        done
    done
}
copy_dependencies

# 以非特权用户运行
sudo chroot --userspec=nobody:nogroup "$ISOLATED_DIR" /bin/sh -c "cd /app && python3 untrusted_app.py"

示例9：挂载proc和其他虚拟文件系统

在chroot环境中正确挂载proc、sys和dev：

# 进入chroot前挂载必要的文件系统
$ sudo mount -t proc proc /chroot/test/proc
$ sudo mount -t sysfs sysfs /chroot/test/sys
$ sudo mount -t devtmpfs devtmpfs /chroot/test/dev
$ sudo mount -t tmpfs tmpfs /chroot/test/dev/shm
$ sudo mount -t tmpfs tmpfs /chroot/test/tmp

# 创建必要的设备节点
$ sudo mknod -m 666 /chroot/test/dev/null c 1 3
$ sudo mknod -m 666 /chroot/test/dev/zero c 1 5
$ sudo mknod -m 666 /chroot/test/dev/random c 1 8
$ sudo mknod -m 666 /chroot/test/dev/urandom c 1 9

# 现在进入chroot环境
$ sudo chroot /chroot/test /bin/bash

# 退出后卸载
$ sudo umount /chroot/test/{proc,sys,dev/shm,dev,tmp}

⚠️ 安全注意事项

不是完整隔离：chroot不是安全容器，进程仍然可以通过/proc访问系统信息
权限提升：如果chroot环境中的用户获得root权限，可能突破chroot限制
内核访问：chroot中的进程仍然可以调用某些系统调用
设备节点：需要仔细控制chroot环境中的设备节点访问权限
网络隔离：chroot不提供网络隔离，进程可以访问网络

💡 实用技巧

使用工具：使用debootstrap、rinse或mock创建chroot环境
绑定挂载：使用mount --bind共享目录到chroot环境
自动设置：创建脚本自动设置chroot环境所需的所有文件系统
资源限制：结合ulimit和cgroups限制chroot中的资源使用
替代方案：对于更好的隔离，考虑使用Docker、LXC或systemd-nspawn

常见问题

Q: chroot和容器（如Docker）有什么区别？

A: chroot只隔离文件系统，而容器提供更完整的隔离，包括进程、网络、用户等。容器使用cgroups和命名空间技术，安全性更好。

Q: 如何退出chroot环境？

A: 使用exit命令或按Ctrl+D。如果shell被挂起，可能需要按Ctrl+C再退出。

Q: 为什么chroot后命令找不到？

A: 可能没有复制命令本身或其依赖的库文件。使用ldd命令检查依赖，并复制所有必要的库文件。

Q: 可以在chroot环境中运行图形程序吗？

A: 可以，但需要挂载X11 socket和必要的库文件。通常使用mount --bind /tmp/.X11-unix挂载X11。

Q: chroot环境中的进程能看到宿主系统的进程吗？

A: 是的，除非挂载新的proc文件系统。chroot中的进程仍然可以通过/proc看到宿主系统的进程。

Linux命令手册