Time Namespace

从零开始学习AWS黑客技术，成为专家 htARTE（HackTricks AWS红队专家）！

支持HackTricks的其他方式：

• 如果您想看到您的公司在HackTricks中做广告或下载PDF格式的HackTricks，请查看订阅计划!

• 获取官方PEASS & HackTricks周边产品

• 探索PEASS家族，我们的独家NFTs

• 加入 💬 Discord群 或 电报群 或 关注我们的Twitter 🐦 @carlospolopm。

• 通过向HackTricks和HackTricks Cloud github仓库提交PR来分享您的黑客技巧。

基本信息

Linux中的时间命名空间允许对系统单调时钟和开机时间时钟进行每个命名空间的偏移。它通常用于Linux容器中，在容器内更改日期/时间并在从检查点或快照恢复后调整时钟。

实验室：

创建不同的命名空间

命令行界面

sudo unshare -T [--mount-proc] /bin/bash

通过使用参数--mount-proc挂载/proc文件系统的新实例，确保新的挂载命名空间对该命名空间特定的进程信息具有准确且隔离的视图。

错误：bash: fork: 无法分配内存

当执行unshare时没有使用-f选项时，会出现错误，这是由于Linux处理新PID（进程ID）命名空间的方式。以下是关键细节和解决方案：

1. 问题解释：

• Linux内核允许进程使用unshare系统调用创建新的命名空间。然而，发起新PID命名空间创建的进程（称为“unshare”进程）不会进入新的命名空间；只有它的子进程会。

• 运行%unshare -p /bin/bash%会在与unshare相同的进程中启动/bin/bash。因此，/bin/bash及其子进程位于原始PID命名空间中。

• 在新命名空间中，/bin/bash的第一个子进程变为PID 1。当此进程退出时，如果没有其他进程，它会触发命名空间的清理，因为PID 1具有接管孤立进程的特殊角色。然后Linux内核会禁用该命名空间中的PID分配。

1. 后果：

• 在新命名空间中，PID 1的退出导致PIDNS_HASH_ADDING标志的清除。这会导致alloc_pid函数在创建新进程时无法分配新的PID，从而产生“无法分配内存”错误。

1. 解决方案：

• 可以通过在unshare中使用-f选项来解决此问题。此选项使unshare在创建新PID命名空间后fork一个新进程。

• 执行%unshare -fp /bin/bash%确保unshare命令本身成为新命名空间中的PID 1。然后，/bin/bash及其子进程安全地包含在此新命名空间中，防止PID 1过早退出，并允许正常的PID分配。

通过确保unshare使用-f标志运行，可以正确维护新的PID命名空间，使/bin/bash及其子进程能够正常运行，而不会遇到内存分配错误。

Docker

docker run -ti --name ubuntu1 -v /usr:/ubuntu1 ubuntu bash

检查您的进程位于哪个命名空间

ls -l /proc/self/ns/time
lrwxrwxrwx 1 root root 0 Apr  4 21:16 /proc/self/ns/time -> 'time:[4026531834]'

查找所有时间命名空间

sudo find /proc -maxdepth 3 -type l -name time -exec readlink {} \; 2>/dev/null | sort -u
# Find the processes with an specific namespace
sudo find /proc -maxdepth 3 -type l -name time -exec ls -l  {} \; 2>/dev/null | grep <ns-number>

进入时间命名空间

nsenter -T TARGET_PID --pid /bin/bash

也，只有root用户才能进入另一个进程命名空间。而且，没有指向它的描述符（如/proc/self/ns/net），你无法进入其他命名空间。