Подскажите, зачем DNS сервер bind ставят в chroot?

bind дропает привелегии после старта.

хакер с дропаными привелегиями будучи уже в системе можен запустить локальный експлоит, и повысить привилегии...

Да может но!

1 Этот эксплойт можно будет запустить только на ядро (учитывая что bind уже по умолчанию дропает привелегии root), тоесть на системные вызовы ядра.

2 Для запуска эксплойта у хакера ничего не будет кроме бинарников bind. Тоесть хакеру потребуется еще и что то закачать на диск.

3 Pаливка эксплойта в окружение chroot чаще не возможно так как на все окруженгие chroot ставять chattr +i

4 Чаще всего сам эксплойт на bind может вместить в себя минимальное количество кода - так что говорить о включении эксплойта на ядро и не приходится.

Если сюда добавить еще и защиту от переполнения буфера (а лучше еще и закрыть выход из окружения chroot), то это просто не пробиваема защита. Причем требующая минимальных усилий.

Реально пробоводил на горячем сервере экспирименты. Когда кто то пытался захать bind чаще всего бинд просто останавливался.

> хакер с дропаными привелегиями будучи уже в системе можен запустить локальный експлоит, и повысить привилегии...

у chroot - нет.

расскажите пожалуйста, где можно почитать про "chroot break", слышал что существуют какие-то способы выйти из chroot...