debootstrap访问原始根系统chroot监狱

Question

我正在编写一个像spoj.pl这样的在线编码裘德网站，并且正在创建一个用于编译和执行程序的监狱。 我编写了一个脚本，该脚本使用c / c ++源代码，编译并运行该代码。 我需要在由debootstrap创建的监狱中执行此程序，但我必须限制对脚本的权限，并允许二进制文件仅读取原始/ home / ubuntu系统中存在的-输入/输出文件。

可能吗 ？

Linux system:
/home/ubuntu:
   This folder has 
   online_judge/scripts.py ...
   input_output/input*.txt,output*.txt

/Jail 
    submissions/code.c
    submissions/code.cpp

我需要使用受限的监狱用户在监狱中调用/ home / ubuntu的scripts.py，编译代码并运行二进制文件。 监狱用户应该永远不能访问任何/ home / ubuntu文件，但可以给我输入然后执行权限的input_output / input * txt除外

Answer 1

我需要使用受限的监狱用户在监狱中调用/ home / ubuntu的scripts.py，

您说过scripts.py位于/ home / ubuntu / online_judge中，而不在/ Jail中。 因此，您将监狱用户限制为/ Jail。 如果受限监狱用户应执行online_judge / scripts.py，则必须使其在/ Jail下的某个位置可访问。

监狱用户应该永远不能访问任何/ home / ubuntu文件，但可以给我输入然后执行权限的input_output / input * txt除外

硬链接可能会有所帮助，例如“ ln /home/ubuntu/online_judge/scripts.py /Jail/scripts.py”，现在受限制的监狱用户可以通过/Jail/scripts.py访问scripts.py。 确保限制对该文件的写访问，否则他/她将修改两个“副本”。

Answer 2

您需要使用debootstrap，才能下载必要的编译工具链。 因此，无需尝试使用现有系统的工具链，而可以使用debootstrap提供的工具链，也可以通过apt-get从监狱内下载工具链。 如果全部失败，请尝试使用草稿箱（www.scratchbox.org），它包含您还需要执行环境的所有编译工具链。 希望对您有所帮助！