chroot: Alterando o Diretório Raiz para Isolar um Ambiente

2026-06-06 Tempo de leitura: Cerca de 10 min Dificuldade: Intermediário+

O Que Você Vai Aprender

• Como o chroot troca o diretório raiz que um processo enxerga
• Como diagnosticar "o comando não executa dentro do chroot" como um problema de bibliotecas compartilhadas
• Um fluxo de trabalho confiável de recuperação de sistema a partir de USB live ou modo de resgate
• Por que o chroot não é um limite de segurança e o que usar no lugar

O Que é chroot?

Conclusão: O chroot altera o diretório raiz aparente (/) de um processo e seus filhos para um diretório que você especifica, de modo que esse processo não consiga mais acessar arquivos fora da nova raiz.

Normalmente, todo processo resolve caminhos a partir da raiz do sistema /. Quando você executa chroot /mnt/newroot, tudo abaixo desse ponto se torna o novo / para o processo afetado.

$ sudo chroot /mnt/newroot

A partir desse momento, o /etc/passwd do shell chrooted na verdade aponta para /mnt/newroot/etc/passwd. Qualquer coisa fora da nova raiz (o /home real do host, por exemplo) não pode mais ser referenciada como caminho. É por isso que o chroot é descrito como "isolar um ambiente."

Por Que Usar chroot?

Conclusão: Os três usos principais são recuperação de sistema, ambientes limpos de build/teste e confinamento de serviço. Use-o quando quiser executar um comando contra um sistema de arquivos independente do que está em execução.

Casos de uso típicos:

Como Executar chroot?

Conclusão: A sintaxe é chroot NOVARAIZ [COMANDO]. Omita o comando e ele inicia o shell do usuário ($SHELL ou /bin/sh) interativamente. Privilégios de root são necessários.

Sintaxe básica:

$ sudo chroot NOVARAIZ [COMANDO [ARG...]]

Sem um comando:

# Iniciar um shell interativo dentro da nova raiz
$ sudo chroot /mnt/newroot

Com um comando explícito:

# Executar /bin/ls dentro da nova raiz e sair
$ sudo chroot /mnt/newroot /bin/ls -l /

O Que um Ambiente chroot Precisa?

Conclusão: Além do binário do comando em si, as bibliotecas compartilhadas (arquivos .so) das quais ele depende devem existir dentro da nova raiz. Caso contrário, ele falha com "No such file or directory."

Essa é a armadilha clássica. Executar chroot /mnt/newroot /bin/bash falha se /mnt/newroot/bin/bash estiver ausente -- e mesmo quando o binário está presente, as bibliotecas compartilhadas que o bash referência também devem estar dentro da nova raiz.

Encontre as dependências com ldd:

$ ldd /bin/bash

        linux-vdso.so.1 (0x00007fff...)
        libtinfo.so.6 => /lib/x86_64-linux-gnu/libtinfo.so.6 (0x00007f...)
        libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f...)
        /lib64/ld-linux-x86-64.so.2 (0x00007f...)

Copie cada .so para o mesmo caminho dentro da nova raiz e o bash funcionará. Um jail mínimo construído manualmente:

$ NEWROOT=/mnt/jail
$ sudo mkdir -p $NEWROOT/{bin,lib,lib64}
$ sudo cp /bin/bash $NEWROOT/bin/
# Copie os arquivos .so reportados pelo ldd nos diretorios correspondentes
$ sudo cp /lib/x86_64-linux-gnu/{libtinfo.so.6,libc.so.6} $NEWROOT/lib/
$ sudo cp /lib64/ld-linux-x86-64.so.2 $NEWROOT/lib64/
$ sudo chroot $NEWROOT /bin/bash

Recuperando um Sistema com chroot

Conclusão: Para reparar um SO que não inicializa, monte o disco, faça bind-mount de /dev, /proc e /sys nele e depois faça chroot. Isso permite operar o SO instalado quase como se tivesse inicializado normalmente.

Passos para entrar no SO instalado a partir de um USB live ou modo de resgate, assumindo que /dev/sda1 é a partição raiz:

# 1. Monte a particao raiz do alvo
$ sudo mount /dev/sda1 /mnt

# 2. Disponibilize os sistemas de arquivos virtuais via bind mounts
$ sudo mount --bind /dev  /mnt/dev
$ sudo mount --bind /proc /mnt/proc
$ sudo mount --bind /sys  /mnt/sys

# 3. Faca chroot no SO instalado
$ sudo chroot /mnt

# 4. Agora opere normalmente (ex: reinstalar o GRUB)
# grub-install /dev/sda && update-grub

Quando terminar, saia do chroot antes de desmontar. Inverter a ordem resulta em target is busy.

# Saia do chroot primeiro
# exit

$ sudo umount /mnt/sys /mnt/proc /mnt/dev
$ sudo umount /mnt

O chroot é um Limite de Segurança?

Conclusão: Não. O chroot apenas altera a visão do sistema de arquivos; um processo com privilégios de root pode escapar dele usando técnicas bem conhecidas. Use containers baseados em namespaces para isolamento real.

Tratar o chroot como sandbox é perigoso. Um processo executando como root dentro de um chroot pode escapar (um "chroot escape") com truques clássicos como um chroot duplo. Isso é uma limitação de design, não um bug.

O que o chroot não isola:

• A tabela de processos (ps enxerga processos externos, e você pode usar kill neles)
• Rede (a mesma pilha de rede é compartilhada)
• Usuários e privilégios (root dentro do chroot é o root do host)
• O kernel (compartilhado)

Erros Comuns e Soluções

Conclusão: A maioria das falhas se resume a bibliotecas compartilhadas ausentes, bind mounts ausentes ou privilégios insuficientes. Leia a mensagem de erro para distingui-las.

chroot: failed to run command '/bin/bash': No such file or directory

Se o binário do bash existe mas você ainda vê este erro, as bibliotecas compartilhadas (incluindo o loader) estão ausentes dentro da nova raiz em quase todos os casos. Combine a saída do ldd /bin/bash na nova raiz (veja a seção de dependências).

$ ldd /bin/bash   # Execute no host para listar os arquivos .so necessarios

chroot: cannot change root directory to '/mnt': Operation not permitted

Você não tem privilégios de root -- adicione sudo. O mesmo erro aparece quando CAP_SYS_CHROOT foi removido, como dentro de um container.

Muitos "command not found" após chroot

Ou o PATH não corresponde ao layout da nova raiz, ou os comandos necessários não estão instalados. Uma raiz mínima pode não conter nem mesmo ls. Monte um userland completo com debootstrap ou similar.

umount reporta target is busy

Você está tentando desmontar antes de sair do shell chroot. Faça exit do chroot primeiro, depois desmonte na ordem /sys, /proc, /dev, /mnt.

# Entrar
sudo mount /dev/sda1 /mnt
sudo mount --bind /dev  /mnt/dev
sudo mount --bind /proc /mnt/proc
sudo mount --bind /sys  /mnt/sys
sudo chroot /mnt

# Apos o trabalho, saia do chroot e depois:
sudo umount /mnt/sys /mnt/proc /mnt/dev
sudo umount /mnt