CGroup Namespace
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Basic Information
'n cgroup namespace is 'n Linux-kernfunksie wat isolasie van cgroup hiërargieë vir prosesse wat binne 'n namespace loop bied. Cgroups, kort vir kontrole groepe, is 'n kernfunksie wat toelaat dat prosesse in hiërargiese groepe georganiseer word om grense op stelselhulpbronne soos CPU, geheue en I/O te bestuur en af te dwing.
Terwyl cgroup namespaces nie 'n aparte namespace tipe is soos die ander wat ons vroeër bespreek het nie (PID, mount, netwerk, ens.), is hulle verwant aan die konsep van namespace-isolasie. Cgroup namespaces virtualiseer die uitsig van die cgroup hiërargie, sodat prosesse wat binne 'n cgroup namespace loop 'n ander uitsig van die hiërargie het in vergelyking met prosesse wat in die gasheer of ander namespaces loop.
How it works:
Wanneer 'n nuwe cgroup namespace geskep word, begin dit met 'n uitsig van die cgroup hiërargie gebaseer op die cgroup van die skepende proses. Dit beteken dat prosesse wat in die nuwe cgroup namespace loop slegs 'n subset van die hele cgroup hiërargie sal sien, beperk tot die cgroup subboom wat op die skepende proses se cgroup gegrond is.
Prosesse binne 'n cgroup namespace sal hulle eie cgroup as die wortel van die hiërargie sien. Dit beteken dat, vanuit die perspektief van prosesse binne die namespace, hulle eie cgroup as die wortel verskyn, en hulle kan nie cgroups buite hulle eie subboom sien of toegang daartoe kry nie.
Cgroup namespaces bied nie direk isolasie van hulpbronne nie; hulle bied slegs isolasie van die cgroup hiërargie uitsig. Hulpbronbeheer en isolasie word steeds afgedwing deur die cgroup subsisteme (bv., cpu, geheue, ens.) self.
For more information about CGroups check:
CGroupsLab:
Create different Namespaces
CLI
Deur 'n nuwe instansie van die /proc
lêerstelsel te monteer as jy die parameter --mount-proc
gebruik, verseker jy dat die nuwe monteernaamruimte 'n akkurate en geïsoleerde siening van die prosesinligting spesifiek vir daardie naamruimte het.
Docker
Kontroleer in watter naamruimte jou proses is
Vind alle CGroup-namespaces
Gaan binne in 'n CGroup naamruimte
Ook, jy kan slegs in 'n ander prosesnaamruimte ingaan as jy root is. En jy kan nie in 'n ander naamruimte ingaan sonder 'n beskrywer wat daarna verwys nie (soos /proc/self/ns/cgroup
).
Verwysings
Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Leer & oefen GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated