什么是“模块外壳与内核的分离”

Question

在许多不同的资源(例如https://en.wikipedia.org/wiki/Code_注入)下，有一些很好的技巧可以防止代码注入。

然而，其中之一是“模块化外壳与内核的分离”--但经过相当多的谷歌搜索之后，这个术语似乎并没有在任何地方被定义--但其他所有网站似乎都在复制和粘贴它，将其作为代码注入缺陷的防御机制。

有人能描述一下“模块壳与内核的分离”到底是什么意思吗？

Answer 1

我同意你的意见，即这个特定的术语没有得到很好的解释，而且很多网站似乎只是互相套近乎而已。

虽然我不是linux，但我的最佳猜测是查看unshare() syscall：

取消共享允许..。分离上下文例如虚拟内存和打开的文件的部分的功能

来源

unshare可以使用内核的每个进程命名空间机制来实现多实例化目录。多实例化目录(如/tmp的每个用户和/或每个安全上下文实例)、/var/tmp或用户主目录的每个安全上下文实例在使用这些目录时隔离用户进程。使用unshare，PAM模块可以轻松地在登录时为用户设置私有命名空间。