Запретить remount

Зачем?

Чтобы нельзя было перемонтировать, наверное.

Пользователи не могут ничего перемонтировать, рута ты так не ограничишь.

Пользователи не могут ничего перемонтировать, рута ты так не ограничишь.

Если где надо возвращать ошибку, то даже рут не сможет, мне так кааца... По крайней мере это будет гораздо сложнее.

рута ты так не ограничишь.

Почему? Перемонтирует не рут, а ядро. Которое позволяется запатчить.

А типа рут не сделает патч на твой патч, чтобы все работало как раньше? А то и проще ситуацию предлагаю: вернуть взад непропатченное ведро!

А типа рут не сделает патч на твой патч, чтобы все работало как раньше? А то и проще ситуацию предлагаю: вернуть взад непропатченное ведро!

Система на squashfs и ядро нельзя поменять в рантайме.

А чо, перезагрузиться рут уже не может?

А чо, перезагрузиться рут уже не может?

Зачем?

Шобы ведро заменить!

Шобы ведро заменить!

Система на squashfs, как ты заменишь ядро?

Я без понятия, что такое сквашэфэс. Но уверен, что все равно есть выход.

И модули запрещены? И как ты ограничил рути писать произвольные области памяти?

Read-only fs

что бы что-то могло запуститься из squashfs этот squashfs должен быть смонтирован. Монтирует squashfs ядро и оно далее продолжает свою работу после монтирования squashfs образа, вот его и можно заменить, ну а squashfs, если нужно перепаковать.

Да знает он что такое squashfs.

Тогда ядро не должно быть на squashfs

Монтирует squashfs ядро

Которое снова расположено на squashfs. так как его заменить, я что-то не понимаю?

На скваше обычно rootfs располагают.А ядро на другом разделе обычно «обитает» в embedded systems.

у меня обитает на том же.

Тогда загрузчику (u-boot'у нужен драйвер для этого, уж не знаю умеет ли он это) нужно знать о скваше, иначе, как он узнает, где ядро лежит, чтобы передать управление ему.

man перехват функций ядра. Сам не делал, но знаю, что можно.

функций ядра...

Ну ладно, и такое бывает.

Не бывает такого. Она что ли шифрованная? Да даже если шифрованная — рут что ли не сможет выдернуть ключ и перемонтировать корень в виртуалке или перезагрузившись с флешки?

Тогда загрузчику (u-boot'у нужен драйвер для этого, уж не знаю умеет ли он это) нужно знать о скваше,

Он знает, всё работает.

Лог загрузки покажи плиз, dmesg который.

Система на squashfs, как ты заменишь ядро?

как минимум: man kexec

А, ну тогда ок. Почему бы и нет ))

Ещё раз, ни один загрузчик монтировать squashfs и вызывать из него ядро не умеет. Для того, что бы открыть (смонтировать) squashfs должно быть загружено ядро загрузчиком. Это ядро в squashfs находиться не может. Образ ядра может быть, к примеру попросту записан на диск, карту памяти, ну или вообще абстрактно по не которому адресу памяти и загрузчик будет считывать из определённого адреса некоторый блок данных и передавать на этот загруженный блок данных управление.

А затем уже это загруженное ядро смонтирует squashfs и это же ядро продолжит работать. Теоритически можно попробовать реализовать kexec, т.е. стартует первое ядро, монтирует squashfs, загружает образ ядра в память и посредством kexec передаёт ему управление. Всё это нужно поместить в initramfs. Второе ядро заново проинициализирует оборудование и допустим смонтирует squashfs.

В принципе это реализовать возможно, но довольно сложно.

Пробовал когда-нибудь kexec на ARM'ах или MIPS'ах. Я чего-то такого не наблюдал, даже компилироваться на хотелось. Может быть, я что-то делал не так, поделись опытом.

как минимум: man kexec

kexec забанен в первую очередь. Господа, может вернёмся к do_remount_sb()?

Ещё раз, ни один загрузчик монтировать squashfs и вызывать из него ядро не умеет.

Мой умеет. Он специально запатчен для этого.

Да я про то же спрашивал, но человек утверждает, что у него все работает... )))

Ты уверен? В таком случае, как я описал у тебя изначально не из squashfs загружается одно ядро, затем оно монтирует squashfs, затем посредством kexec из смонтированного squashfs загружается новое ядро и ему передаётся управление.

Только при такой схеме слишком много но.

Пробовал когда-нибудь kexec на ARM'ах или MIPS'ах. Я чего-то такого не наблюдал, даже компилироваться на хотелось. Может быть, я что-то делал не так, поделись опытом.

Я не пробовал, но точно знаю, что kexec'ом проламывали стоковую прошивку Motorola Droid3/4 с целью установки CM. Детали думаю можно нагуглить.

Брешешь, ты случаем не Денис Попов?

kexec забанен в первую очередь. Господа, может вернёмся к do_remount_sb()?

А загрузка модулей тоже забанена ;) ?

А, погоди, помню у гнусмаса был проект, что если «первое» ядро «падает», то потом подгружается «второе», но оно заглохло, из-за особенностей процов snapdragon. Далее вся разработка пошла в trust zones.

Ты уверен?

Да, уверен. Именно потому что загрузичк запатчен он умеет читать со squashfs раздела

как я описал у тебя изначально не из squashfs загружается одно ядро

Нет. Загрузчик грузит initrd, который находится на squashfs, который в свою очередь уже маунтит squashfs как /

Денис Попов это я )))

Брешешь

А в чём проблема? У меня не U-Boot, как могло показаться, но автор squashfs оценил запил squashfs в U-Boot на месяц. Были бы руки.

Назови хотя бы загрузчик и приведи патчи, тогда поверю.

Так загрузчик должен уметь распаковывать скваш, это же просто тупо архив, сжатый, допустим тем же zip или lzma, и ему (загрузчику) нужен адрес, куда передавать управление,на распакованное ядро. Далее, ему пофиг, что будет происходить.

Да! Сурс в студию.

Не работаешь ли ты в конторе по выпуску тивоизированных решений на линупсе?

Одна и та же ФС может быть примонтирована к нескольким точкам. Перемонтирование влияет на все, поэтому та функция может и не знать, через какой путь её дёрнули. Ну, можно найти список всех точек монтирования, пройтись по нему и найти там ФС с правильным номером. Если в твоём shared какая-то ФС, которой больше нигде нет, можно её драйвер отучить делать то, что ты хочешь запретить даже руту.

А вообще выше правильно говорят, запретить что-либо руту сложно. Умаешься выискивать все «дырки» и запатчивать их. А потом мержить такой патч с апстримом, когда обновить захочется.

А не проще ли запретить рута?

Ещё проще - запретить себе запрещать.

А загрузка модулей тоже забанена ;) ?

Это сложный вопрос. Фактически - да.

А по делу, я правильно понимаю, что имея dentry я не могу получить полный путь, т.к. путь будет вплоть до корня монтирования? Тогда получается, что единственный способ - это как-то перебрать все vfsmounts и сравнить с запрашиваемым путём? Вопрос как. Спасибо.

Это сложный вопрос. Фактически - да.

«фактически» это как именно?

с запрашиваемым путём

ты зациклен на пути. что мешает руту использовать другой путь для монтирования?