Як "rm -rf /" може видалити всі файли в системі?

Я не пробував цю команду на Ubuntu (з очевидних причин), тому я не впевнений, чи дозволить Ubuntu її виконання. Але він відомий тим, що все видалив. Щойно з цікавості, що відбувається, коли ядро ​​і /binвидаляються? Як rmпідтримується стек часу виконання? Як rmвдається спілкуватися з файловою системою та завершити видалення? Як він спілкується з обладнанням?

Не має значення, що /bin/rmвидалено. Він запускається лише один раз, і до цього моменту він завантажується в пам'ять, як і все інше, необхідне для продовження надсилання делетів на файлову систему та диск.

Бічна панель / оновлення: Відповідь Девіда Холзера (і згадується в коментарях), вкладка, на яку вказували тверді посилання,/bin/rm залишатиметься до кінця rm(оскільки Linux тримає у відкритому стані), але цей факт не має значення; стан диска зовсім не має значення.

Бінарний файл завантажується в пам'ять перед його запуском. Навіть якщо ви могли вручну знищити rmдані диска, це не вплине або не зупинить завершення видалення (якщо припустити, що в іншому випадку ви не зробите диск недоступним).

Не знаєте, що таке inode або hardlink? Це відповідь, де я це опрацював.

У будь-якому випадку, це також те, що ви можете видалити пакунок для поточного ядра, не завантажуючи комп'ютер. Поки ви інсталюєте іншу версію, вона зможе завантажитися.

Знову ж таки, це працює, тому що rmназивається лише один раз. Далі не вдасться після /bin/rmпомерти, оскільки він викликає його один раз для кожного імені файлу:

find / -exec rm {} \;

Це сказало, find / -exec rm -rf {} +і find / -print0 | xargs -0 rm -rfтакож, ймовірно, не вдасться, оскільки вони мають обмеження аргументів, тобто вони видалять лише ряд файлів, перш ніж знову викликатись. У якийсь момент дороги /bin/rmможе закінчитися ( і буде випущено), перш ніж решта файлів будуть видалені. Хоча це не гарантується. Якби /bin/останній каталог був введений, ці методи могли б працювати.

Я не пробував цю команду на Ubuntu (з очевидних причин), тому я не впевнений, чи дозволить Ubuntu її виконання.

Я робив. rm -rf / --no-preserve-rootпрацює під час кореневого сеансу, відкритого безпосередньо на машині, в той час як я також був підключений через sshіншу машину, використовуючи також root-акаунт.

Що стається, це те, що ви починаєте отримувати багато повідомлень на кшталт:

rm: не можна видалити '/ ...': Операція не дозволена

або:

rm: не можна видалити '/ ...': Пристрій чи ресурс зайнятий

Дивно, але sshз'єднання залишалося відкритим до кінця операції. Лише коли я закрив з'єднання і спробував його відновити, з’явилася помилка:

Не вдалося прочитати з розетки: з’єднання скидається одноранговим

На машині залишаються чотири каталоги:

• /dev. Тут зберігаються файли пристроїв.
• /proc- файлова система пам'яті, створена ядром.
• /run, стандартизоване розташування файлової системи для демонів.
• /sys. Це дозволяє отримати інформацію про систему та її компоненти.

Це означає, що там залишилося не так багато, і мало що робити. Ви не можете ls(хоча під час використання Tabназви каталогів та файлів все ще відображаються). Ви можете cdзнаходитись у різних каталогах, а також echoвміщувати файли, але такі команди, як такі, catбільше не доступні.

Немає жодної sudo.

shutdown -h nowі rebootзник, а також ваш єдиний варіант, здається, повернути машину вручну. Вихід ( exit) не працює, навіть якщо він показує гарний текст "виходу".

Коли ви спробуєте перезавантажити машину, вам з’явиться приємна помилка GRUB 15, і тоді нічого не станеться, і тоді ви можете почати думати, що ви rmмогли зробити щось погано для вашої системи.

Ви також можете це зробити

Ні, чекайте, не робіть цього на своїй машині!

Замість цього можна запустити віртуальну машину . Вигідні машини мають перевагу зробити експерименти по-справжньому просто. Оскільки ви використовуєте Ubuntu, вас може зацікавити vmbuilder . Це інструмент, який дозволяє розгорнути віртуальні машини за лічені хвилини (офіційна документація стверджує, що це можна зробити "приблизно за хвилину", але фактичний час, навіть на швидкому апаратному забезпеченні, становить приблизно дві-три хвилини .

Як тільки розгортання закінчиться, у вас з’явиться середовище, з яким можна грати. Якщо ви врешті-решт знищите його, не має значення: ви знову розгорнете машину, а через дві хвилини можете продовжити.

Якщо ви використовуєте програмне забезпечення, таке як VMWare, вас також можуть зацікавити знімки (зауважте, що у безкоштовного програвача VMWare немає цієї функції; вам потрібно придбати робочу станцію VMware). Зауважте, що Hyper-V безкоштовний і підтримує знімки (але вам потрібно запустити Windows).

Перевага знімків полягає в тому, що ви можете зробити їх за лічені мілісекунди. Відкат до знімка займає більше часу, але часто це за секунди. Це робить експерименти ще простішими та швидшими.

Цей експеримент не обмежується самою операційною системою. Ви можете робити все, що стосується програмного забезпечення. Отримали підозрілу заявку? Перевірте його у вітчизняній машині - якщо це вірус, він не принесе ніякої шкоди. Хочете перевірити роботу над базою даних, враховуючи, що це може вплинути на навколишнє середовище? Перевірте його в VM.

Що робити, якщо ви зробили це на справжній нетестовій машині?

Погані речі трапляються. Зауважте, що rmзахищає вас від себе: rm -rf /не вийде: вам потрібно користуватися --no-preserve-root. Але що робити, якщо ви насправді досягли помилки, щоб все зняти?

rmлише видаляє файли , але дані все ще є на вашому жорсткому диску. Це дає можливість відновити його пізніше (саме тому не слід просто викидати жорсткі диски з конфіденційними даними, коли вони більше не працюють).

Це означає, що вам потрібно просто мати запасний ПК із корпусом жорсткого диска, щоб фактично відновити майже всі файли. Важливо - не уникати запису на жорсткий диск для відновлення: дані, які ви записуєте, перезаписують непов'язані файли.

Як зазначається у статті в коментарі 200_success , якщо ви працюєте спритно, ви можете повернути машину навіть без запасного ПК. Якщо ви дбаєте лише про дані, я б не переймався - відновити їх за допомогою запасного ПК набагато простіше.

Причина полягає в тому, що шар іменування файлів (те, що ви бачите ls) справді лише для вашої зручності. Драйвер файлової системи та ядро ​​дбають лише про те, що таке inode. Коли файл посилається на ім'я, він негайно переводиться у вкладку, яка містить усі метадані, включаючи дозволи, блоки даних на диску, ідентифікатор власника, ідентифікатор групи та кількість посилань.

Кількість посилань - це дійсно важливо тут. Коли ви видаляєте файл у системі UNIX, фактичним системним викликом є unlink. Під кришкою кришки відбувається те, що кількість посилань (кількість імен файлів у шарі іменування файлів), що вказують на цей інод, зменшується. Файлова система знає, що файл видаляється, коли кількість посилань досягає нуля.

Коли файл буде видалений, rmвін також буде редагувати файл каталогів (так, це просто файл, який містить ім'я файлу та inode, а також кілька інших бітів, не важливих для цієї відповіді). Однак саме відключення фактично звільняє дискові ресурси.

Це призводить до деяких інших цікавих ефектів. По-перше, можна відкрити файл, кількість посилань якого дорівнює нулю. Це відбувається, коли ви rm -rf /видаляєте запис для /bin/rm. Файл відкритий (на ньому є ручка файлу), але вкладка позначена видаленою (кількість посилань = 0). Ресурси диска не будуть звільнені та використані доти, доки ручка файлу не закриється.

Ще один цікавий ефект - це те, що відбувається, коли у вас є inode із кількістю посилань, більшим за нуль, але нічого в шарі імен файлів, що вказує на нього. Це в певному сенсі дуже добре прихований файл :). Щоб отримати доступ до нього, вам доведеться скористатися чимось низьким рівнем, щоб посилатися на нього за номером inode, а не за назвою (оскільки його немає) або відредагувати запис каталогу, щоб вказати на inode за допомогою шестигранного редактора.

Третій цікавий ефект - це те, що станеться, якщо зменшити кількість посилань до нуля, але все-таки вказати запис каталогу на inode. Я залишу це вам для експерименту, якщо хочете. Зрозуміло, що ці два останні призводять до того, що файлова система перебуває в невідповідному стані.

Попередні відповіді хороші, але я хочу уточнити одну деталь:

rmце не просто команда. Це програма, яка знаходиться в PATH.

Тому те, що відбувається при виконанні, полягає в наступному:

• ви викликаєте (як root) rm -rf /
• екземпляр програми rmзавантажується в пам'ять з аргументами -rfі/
• на основі цих аргументів програма rmпочинає свою діяльність (переглядаючи все, що знаходиться в змонтованому / роздільному розділі та рекурсивно видаляє посилання на нього [вибачте за технічність;)])
• Після його завершення екземпляр rmпрограми вивантажується
• на даний момент єдиною пам'яттю є програми, які раніше були завантажені (наприклад, bash, якщо у вас є відкритий термінал в Ubuntu, середовищі робочого столу, ядра, драйверів тощо)
• якщо ви спробуєте викликати будь-яку іншу команду (яка у випадку Linux робить її окремою програмою), вона вийде з ладу, оскільки такої програми в місцях PATH не знайдено (а PATH-локації вже не існують). Однак усе завантажене все одно буде працювати

Просто для розуміння того, як це працює, спробуйте встановити LAMP на ubuntu (у Virtualbox), деякий кеш-скрипт та кеш-код PHP, а потім зателефонуйте цій злій команді. Дивно (якщо вам пощастило, і ваш кеш-код опкоду не помітить видалення файлу PHP), ви все одно можете отримати доступ до скриптів PHP ззовні через веб-сервер apache!

PS: ця зла команда навіть запускалася як root navint delete everything; вона не може видалити деякі привілейовані процеси з ядра /procі не може видалити деякі речі з /devпристроїв, які відображаються у вашій системі як файли. Насправді корінь не такий всемогучий, як ми думаємо, ядро ​​з іншого боку.

PPS: Крім того, як друга думка, ви також все ще будете мати файли, які були lockedіншим процесом під час спроби видалення.

Після того, як все витирається з жорстких дисків, ядро ​​все ще працює, але начебто застрягло, оскільки немає пристроїв і програм, команд тощо.

ОС більше не працюватиме.

І правда те, що каже Олі, команда завантажується / виконується в пам'ять, і ніщо не зупинить її, якщо ви не вб'єте цей процес (звичайно, якщо команда kill ще присутня ^^).

Майте на увазі, що якщо система має selinux і selinux знаходиться в режимі примусового виконання, а політика selinux налаштована належним чином; тоді нічого особливого не станеться.

Selinux - це обов'язковий контроль доступу, що означає, серед усього іншого, що користувач root дійсно має не набагато більше сил для знищення системи, ніж будь-який інший користувач у системі.

Selinux застосовано в ядрі; вам доведеться компрометувати ядро, щоб обійти його.

У добре розробленій системі з хорошою політикою Selinux, root не зможе зробити багато чого в системі.

Подальші версії Android вимагають застосування Selinux саме з цієї причини.