Наложение песочницы для человечности
Я хочу некоторую функциональность как Sandboxie в Windows.
Таким образом, я хочу запустить программу в песочнице. Программа не обнаруживает песочницу и может считать файлы снаружи песочницы обычно. Но когда программа пытается записать файлы, файлы только записаны в песочнице, не снаружи. И затем, возможно вне песочницы, я хочу некоторый способ видеть только файлы, созданные в песочнице.
Я считал Установку Sandboxie на человечности, но это, кажется, не то, что я хочу.
Согласно http://www.linux-magazine.com/Issues/2015/173/Firejail, Firejail имеет функцию наложения, но файлы уничтожаются, когда программа, которая создает их концы. Вместо этого я хочу осмотреть эти файлы.
Кажется, что этими вещами наложения является часть Linux начиная с ядра 3.18, не уверенный, если существует некоторый способ использовать их для достижения того, что я хочу.
У меня есть Lubuntu 16.04.1 с 4.4.0-53-универсальным ядром Linux.
2 ответа
Firejail может быть настроен для использования "белого списка" файлов, позволенных быть сохраненными, который позволит Вам использовать его без файлов, Вы хотите продолжать удаляться. Если бы Вы просто хотите видеть то, какие файлы были бы записаны, можно также считать журналы.
https://firejail.wordpress.com/features-3/man-firejail /
--read-write=dirname_or_filename
Set directory or file read-write. Only files or directories
belonging to the current user are allowed for this operation.
Example:
$ mkdir ~/test
$ touch ~/test/a
$ firejail --read-only=~/test --read-write=~/test/a
Запущенные приложения в Докере будут очень сложной ситуацией и не будут работать, если они не будут приложениями командной строки, так как нет никакого графического совместного использования сервера без дополнительных конфигураций. Также докер более разработан, чтобы помочь этим отдельным контейнерам говорить друг с другом, что-то, что Вы не сказали, что Вам было нужно (и вероятно не нуждаются в этой модели игры в песочнице)
Вы могли использовать контейнеры докера для этого. Контейнеры докера являются старыми контейнерами LXC с торговой маркой имени, которые назвали тюрьмами BSD давно. Используйте контейнеры докера и их функцию монтирования объема так, чтобы можно было осмотреть данные впоследствии и сохранить их.