如何使用 Landlock 为 Linux 进程创建沙箱环境——无需 root 权限

• 所需准备事项

• Landlock机制的位置与作用

• 仅通过三个系统调用实现功能，且不依赖任何库文件

• 一个会自我限制权限的程序

• 为什么必须设置no_new_privs选项

• 规则集的交集永远不会扩大

• 你的孩子在系统中会继承哪些设置

• exec陷阱机制的作用

• 如何包装一个你并未编写的程序

• 如何找到程序所需的路径

• 你的系统使用的是哪种ABI版本

• 结论

• 后记

所需准备事项

Landlock的适用范围

Linux安全模块实际上是一个框架，而非具体的安全策略。在打开文件、创建进程或映射可执行内存之前，内核会在这些关键节点调用LSM挂钩，此时已加载的各个安全模块就可以决定是否允许相应的操作。

SELinux和AppArmor是人们最常听到的两种安全机制，它们都属于管理员工具：需要具有root权限的用户才能编写安全策略，系统会加载这些策略，而程序的行为就会受到这些策略的约束。

然而Landlock却采用了不同的设计。它是第一个允许进程在运行时自行应用安全规则的安全模块，而且无需管理员的干预。程序本身可以申请比当前更严格的访问权限，然后由内核来决定是否批准这些请求。

这种“主动申请更严格权限”的机制正是Landlock的设计核心。Landlock只能删除某些访问权限，而不会授予程序原本没有的权限，正因为如此，它才适合被用于非特权进程。

仅需三个系统调用且不依赖任何库

Landlock仅需要通过三个系统调用来实现其功能，而且glibc并没有为这些调用提供封装函数，因此必须直接使用syscall()来调用它们：

static int create_ruleset(const struct landlock_ruleset_attr *attr)
{ return syscall(__NR_landlock_create_ruleset, attr, sizeof(*attr), 0); }

static int add_rule(int fd, const struct landlock_path_beneath_attr *pb)
{ return syscall(__NR.landlock_add_rule, fd, LANDLOCK_RULE_PATH_BENEATH, pb, 0); }

static int restrict_self(int fd)
{ return syscall(__NR_landlockrestrict_self, fd, 0); }

landlock_create_ruleset用于指定需要管理的访问类型，并返回一个表示规则集的文件描述符。landlock_add_rule用于添加允许访问的路径作为例外情况。landlockrestrict_self则会将这些规则永久地应用到调用该函数的进程上。

在规则集属性中，handled_access_fs这个字段的含义容易被误解。它并不是列出了哪些访问是被允许的，而是说明了这个规则集负责管理哪些类型的访问权限。列表中的任何条目都会被拒绝，除非明确指定了允许访问的路径。例如，如果允许读取某个文件系统目录，那么除了这个目录之外，该程序将无法读取其他任何文件。

一个自我限制的程序

下面是具体的实现代码：

#define _GNU_SOURCE
#include 
#include 
#include 
#include 
#include 
#include 
#include 
#include 

#define READ_RIGHTS (LANDLOCK_ACCESS_FS_READ_FILE | LANDLOCK_ACCESS_FS_READ_DIR)

static int create_ruleset(const struct landlock_ruleset_attr *attr)
{ return syscall(__NR_landlock_create_ruleset, attr, sizeof(*attr), 0); }

static int add_rule(int fd, const struct landlock_path_beneath_attr *pb)
{ return syscall(__NR.landlock_add_rule, fd, LANDLOCK_RULE_PATH_BENEATH, pb, 0); }

static int restrict_self(int fd)
{ return syscall(__NR_landlockrestrict_self, fd, 0); }

static int allow_read(int ruleset_fd, const char *path)
{
    struct landlock_path_beneath_attr pb = { .allowed_access = READ_RIGHTS };
    int rc;

    pb.parent_fd = open(path, O_PATH | O_CLOEXEC);
    if (pb.parent_fd < 0) { perror(path); return -1; }
    rc = add_rule/ruleset_fd, &pb);
    close(pb.parent_fd);
    return rc;
}

static void try_read(const char *path)
{
    int fd = open(path, O_RDONLY);

    if (fd < 0)
        printf("读取 %s 失败: %s\n", path, strerror(errno));
    else
        { printf("成功读取 %s\n", path); close(fd); }
}

int main(void)
{
    struct landlock_ruleset_attr attr = { .handled_access_fs = READ_RIGHTS };
    int ruleset_fd = create_ruleset(&attr);

    if (ruleset_fd < 0) { perror("landlock_create_ruleset"); return 1; }
    if (allow_read/ruleset_fd, "/etc") < 0) return 1;

    if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0)) { perror("prctl"); return 1; }
    if (restrict_self.ruleset_fd)) { perror("landlock_restrict_self"); return 1; }
    close/ruleset_fd);

    printf("使用Landlock后，可以访问 /etc:\n");
    try_read("/etc/hostname");
    try_read("/tmp/secret.txt");
    return 0;
}

gcc -Wall -o sandbox sandbox.c
echo "hunter2" > /tmp/secret.txt
./sandbox

为什么必须设置 no_new_privs

规则集相互重叠时，其权限范围永远不会扩大

这也意味着你不能改变自己的决定。一个在早期就被设置了限制的进程，之后无论是你自己还是其他人都无法再为其增加额外的权限，除非重新启动一个新的进程。

你的孩子会继承什么

这些限制会在程序执行`fork`操作时自动被应用，而不会询问用户是否同意：

父进程：/etc=可访问   /tmp/secret.txt=权限被拒绝
子进程：/etc=可访问   /tmp/secret.txt=权限被拒绝

子进程会完全继承父进程的权限设置，而且没有任何选项可以用来取消这些限制。`execve`函数也是如此，而这正是`no_new_privs`规则的作用所在：新程序一启动就会处于旧程序创建的沙盒环境中。

正因为如此，Landlock对于那些你并非自己编写的程序来说才非常有用。你可以先为自己设置各种限制，然后再执行那些需要被控制的程序，而这些程序会在完全受限制的环境中运行，而它们本身根本不会意识到这些限制的存在。

`exec`函数的陷阱机制

Landlock还会设置一些陷阱。以上面的例子来说，如果只允许访问`/etc`目录，那么尝试执行任何其他文件都会失败：

允许访问的目录：/etc
尝试执行命令：execl(/usr/bin/cat) 失败：权限被拒绝

执行二进制文件首先需要读取它的内容。Landlock的规则系统会检查`/usr/bin-cat`这个文件是否可以被读取，由于没有针对`/usr`目录的明确规定，因此系统会在程序开始之前就拒绝执行该命令。

如果将`/usr`目录添加到允许访问的目录列表中，问题就会得到解决：

允许访问的目录：/etc 和 /usr

从中我们可以得出一个普遍的结论：Landlock沙盒必须包含程序所能够访问的所有资源，而这个资源列表其实比你想象的要广泛得多。你的二进制文件、它的解释器、它加载的所有共享库，以及它在启动时读取的配置文件，都属于需要被限制的范围。使用`ldd`命令来查看二进制文件的依赖关系，是一个很好的开始方法。

为非自己编写的程序添加保护层

正是由于`exec`函数所具有的这种特性，Landlock才不仅仅适用于你自己编写的代码。你可以为自己设置各种限制，然后再执行那些需要被控制的程序，而这些程序会在完全受限制的环境中运行，而它们本身根本不会意识到这些限制的存在。

如果要为这样的程序添加保护层，只需要在原有的代码基础上做一点修改即可。需要处理`LANDLOCK_ACCESS_FS_EXECUTE`权限，并允许程序访问系统中所需的目录和二进制文件，同时还要让用户能够指定程序的工作目录：

#define RIGHTS (LANDLOCK_ACCESS_FS_READ_FILE | LANDLOCK_ACCESS_fs_read_DIR | \
                LANDLOCK_ACCESS_FS_EXECUTE)

static int add_path(int ruleset_fd, const char *path)
{
    struct landlock_path_beneath_attr pb = { .allowed_access = RIGHTS };
    int rc;

    pb.parent_fd = open(path, O_PATH | O_CLOEXEC);
    if (pb.parent_fd < 0)
        return -1;
    rc = syscall(__NR_landlock_add_rule, ruleset_fd,
                 LANDLOCK_RULE_PATH_BENEATH, &pb, 0);
    close(pb.parent_fd);
    return rc;
}

int main(int argc, char **argv)
{
    struct landlock_ruleset_attr attr = { .handled_access_fs = RIGHTS };
    const char *base[] = { "/usr", "/lib", "/lib64", "/bin", "/etc" };
    int fd, i;

    if (argc < 3) { fprintf(stderr, "用法：%s 目录 命令...\n", argv[0]); return 2; }

    fd = syscall(__NR_landlock_create_ruleset, &attr, sizeof(attr), 0);
    if (fd < 0) { perror("create_ruleset"); return 1; }

    for (i = 0; i < (int)(sizeof(base) / sizeof(*base)); i++)
        add_path(fd, base[i]);
    if (add_path(fd, argv[1]) < 0) { perror(argv[1]); return 1; }

    if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0)) { perror("prctl"); return 1; }
    if (syscall(__NR_landlockrestrict_self, fd, 0)) { perror("restrict_self"); return 1; }
    close(fd);

    execvp(argv[2], &argv[2]);
    fprintf(stderr, "%s: %s\n", argv[2], strerror(errno)); 
    return 1;
}

该循环会忽略add_path返回的结果，因此，即使在那些没有/lib64或/bin目录，或者这些目录被链接到了其他位置的系统中，同一个二进制文件依然可以正常使用。系统会检查用户指定的目录，因为如果在那里输入了错误的路径，现在就会出现错误，而不会在后续的过程中导致莫名其妙的失败。

现在，cat和ls命令只能看到当前的工作目录，而无法查看其他任何内容：

mkdir -p /tmp/work && echo "project data" > /tmp/work/notes.txt

./llrun /tmp/work cat /tmp/work/notes.txt
./llrun /tmp/work cat /tmp/secret.txt
./llrun /tmp/work ls /home

project data
cat: /tmp/secret.txt: Permission denied
ls: cannot open directory '/home': Permission denied

这两个程序既没有被修改，也没有被重新编译，更没有需要用户另行授权才能运行。bwrap这类工具是通过在程序周围创建挂载命名空间和用户命名空间来达到这种效果的。它们仅用了大约六十行代码就实现了这一功能，而且完全不需要安装任何额外的组件。

查找程序所需的路径

在任何沙箱环境中，真正困难的部分并不在于API本身，而在于如何确定程序需要访问哪些路径。程序会打开远远超过你预期数量的文件或目录，而如果你遗漏了某个路径，那么在程序运行过程中就会出现错误。

有两种工具可以帮助你生成这些路径列表。ldd可以列出程序所依赖的共享库，如果这些共享库无法被读取，程序就无法正常启动：

ldd /usr/bin/cat

linux-vdso.so.1 (0x00007fff85f39000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f4f61bb5000)
/lib64/ld-linux-x86-64.so.2 (0x00007f4f61e0a000)

strace则可以列出程序打开的所有其他文件和目录。首先让程序在不受限制的情况下运行，然后收集它所打开的文件列表：

strace -e trace=openat cat /etc/hostname 2>&1 | grep -oE '"/[^"]"' | sort -u

"/etc/hostname"
"/etc/ld.so.cache"
"/lib/x86_64-linux-gnu/libc.so.6"
"/usr/lib/locale/locale-archive"

对于一个只需要读取一个文件的程序来说，虽然有四条路径被它打开，但其中只有一条才是真正需要的文件。链接器缓存、C语言库以及区域设置相关文件都是程序运行所必需的，因此包装工具在允许程序访问这些路径之前，会先检查/usr、/lib和/etc目录。

一旦对程序的访问权限进行了限制，strace还能帮助你准确找出具体是哪条路径导致了访问失败：

strace -f -e trace=openat ./llrun /tmp/work cat /tmp/secret.txt 2>&1 | grep EACCES

openat(AT_FDCWD, "/tmp/secret.txt", O_RDONLY) = -1 EACCES (Permission denied)

这就是问题的关键所在。运行程序后，查看EACCES这条错误信息，判断该路径是否应该在允许访问的列表中，如果不在，则说明程序不应该尝试访问这个路径，然后重复这个过程。Landlock内核本身不会记录任何相关的日志信息，因此strace就成了调试工具。从6.15版本开始，Linux内核会通过审计子系统来报告权限拒绝事件，所以在查找日志时，请先确认你的内核版本是否支持这种日志记录功能。

您使用的ABI版本

自5.13版本之后，Landlock的功能有了许多扩展，但某些您所了解的功能可能并不适用于您的内核。您可以直接通过以下代码来查询当前内核支持的ABI版本：

int v = syscall(__NR_landlock_create_ruleset, NULL, 0,
                LANDLOCK_CREATE_RULESET_VERSION);

当前系统报告的ABI版本号为1，这对应的是5.13版本中的原始配置。该版本提供了十三种文件系统访问权限：

grep -oE "LANDLOCK_ACCESS_FS_[A-Z_]+" /usr/include/linux/landlock.h | sort -u

后续版本增加了文件重命名、截断文件长度的功能，以及针对TCP绑定和连接操作的网络规则控制机制，同时还扩展了对设备I/O控制命令的支持。每种新功能都会通过ABI版本的更新来体现，因此如果程序需要使用新的权限功能，就应该先查询当前内核支持的ABI版本，然后再根据实际情况进行相应的调整；如果强行使用内核不支持的权限，调用landlock_create_ruleset函数时会返回EINVAL错误码，而如果不事先检查版本号，这种错误会给调试工作带来很大困扰。

结论

现在，您已经能够让一个进程在自身内部创建沙箱环境，而且无需任何额外的权限设置或配置调整。同时，您也了解了使用Landlock时可能会遇到的几个需要注意的问题：no_new_privs选项必须被设置为true，否则没有任何权限限制会生效；规则集是相互叠加的，而不是简单累积的，因此应该创建一个包含所有必要权限的规则集；子进程会继承父进程的权限设置，这也是Landlock的一个重要特性；此外，如果只允许读取某些文件，那么exec命令也会受到相应的限制，除非程序也被允许访问那些文件。

今后还可以从几个方向继续探索Landlock的功能。例如，可以在handled_access_fs集合中添加LANDLOCK_ACCESS_FS_write_FILE权限，从而创建出能够广泛读取文件但只能向某个特定目录写入文件的程序；对于那些不是自己编写的程序，也可以通过限制其可执行的操作范围，然后再调用execve函数来使其在沙箱环境中运行；另外，研究strace工具是如何记录这些权限限制信息的，也是了解程序实际需要访问哪些路径的有效方法。