Bagaimana 'rm -rf /' dapat menghapus semua file di sistem?

Saya belum mencoba perintah ini di Ubuntu (untuk alasan yang jelas) jadi saya tidak yakin apakah Ubuntu akan mengizinkan pelaksanaannya. Tapi ini terkenal karena menghapus semuanya. Hanya ingin tahu, apa yang terjadi ketika kernel dan /bindihapus? Bagaimana cara rmmenjaga setumpuk run time? Bagaimana cara rmberkomunikasi dengan sistem file dan penghapusan lengkap? Bagaimana cara berkomunikasi dengan perangkat keras?

Tidak masalah yang /bin/rmdihapus. Itu hanya dijalankan sekali dan pada titik itu semua dimuat dalam memori, seperti segala sesuatu yang diperlukan untuk terus mengirim penghapusan ke sistem file dan disk.

Bilah Samping / Pembaruan: Per jawaban David Hoelzer (dan disebutkan dalam komentar), inode yang diacu oleh hardlink /bin/rmakan tetap ada sampai rmselesai (karena Linux bertahan dalam keadaan terbuka) tetapi fakta itu tidak relevan; keadaan disk tidak masalah sama sekali.

Biner dimuat ke dalam memori sebelum dijalankan. Bahkan jika Anda dapat secara manual menghancurkan rmdata disk, itu tidak akan mempengaruhi atau menghentikan penghapusan dari menyelesaikan (dengan asumsi Anda tidak membuat disk tidak tersedia).

Tidak tahu apa itu inode atau hardlink? Ini adalah jawaban tempat saya mengerjakannya.

Pokoknya, ini juga mengapa Anda dapat menghapus paket untuk kernel saat ini tanpa menggunakan komputer. Selama Anda menginstal versi yang berbeda, itu akan dapat boot.

Sekali lagi, ini berhasil karena rmhanya dipanggil sekali. Berikut ini akan gagal setelah /bin/rmmati karena memanggilnya sekali untuk setiap nama file:

find / -exec rm {} \;

Yang mengatakan, find / -exec rm -rf {} +dan find / -print0 | xargs -0 rm -rfjuga akan gagal karena keduanya memiliki batas argumen, yang berarti mereka hanya akan menghapus sejumlah file sebelum dipanggil lagi. Di beberapa titik sepanjang perjalanan, /bin/rmdapat kedaluwarsa ( dan akan dirilis) sebelum sisa file dihapus. Itu tidak dijamin. Jika /bin/direktori terakhir dimasukkan, metode ini dapat bekerja.

Saya belum mencoba perintah ini di Ubuntu (untuk alasan yang jelas) jadi saya tidak yakin apakah Ubuntu akan mengizinkan pelaksanaannya.

Aku melakukannya. rm -rf / --no-preserve-rootsedang berjalan di sesi root yang dibuka langsung di mesin, sementara saya juga terhubung melalui sshdari komputer lain, menggunakan akun root juga.

Apa yang terjadi adalah Anda mulai mendapatkan banyak pesan seperti:

rm: tidak dapat menghapus '/ ...': Operasi tidak diizinkan

atau:

rm: tidak dapat menghapus '/ ...': Perangkat atau sumber daya sibuk

Anehnya, sshkoneksi tetap dibuka hingga akhir operasi. Hanya ketika saya menutup koneksi dan mencoba membukanya kembali, muncul kesalahan:

Baca dari soket gagal: Koneksi diatur ulang oleh rekan

Di mesin, empat direktori tetap:

• /dev. Di sinilah file perangkat disimpan.
• /proc—Dalam sistem file memori yang dibuat oleh kernel.
• /run, lokasi sistem file standar untuk daemon.
• /sys. Ini memungkinkan Anda untuk mendapatkan informasi tentang sistem dan komponen-komponennya.

Ini berarti tidak banyak yang tersisa, dan tidak banyak yang harus dilakukan di sana. Anda tidak bisa ls(walaupun saat menggunakan Tab, nama direktori dan file masih ditampilkan). Anda bisa cddi direktori yang berbeda, dan juga echobarang-barang, tetapi perintah seperti catitu tidak tersedia lagi.

Juga tidak ada sudo.

shutdown -h nowdan rebootmenghilang juga, jadi satu-satunya pilihan Anda tampaknya mematikan mesin secara manual. Logout ( exit) tidak berfungsi, bahkan jika itu menunjukkan teks "logout" yang bagus.

Setelah Anda mencoba untuk me-reboot mesin, Anda disajikan dengan kesalahan GRUB yang bagus 15, dan kemudian, tidak ada yang terjadi, pada titik mana Anda mungkin mulai berpikir bahwa Anda rmmungkin telah melakukan sesuatu yang buruk pada sistem Anda.

Anda bisa melakukannya juga

Tidak, tunggu, jangan lakukan itu di mesin Anda!

Yang bisa Anda lakukan adalah menjalankan mesin virtual . VM memiliki manfaat membuat eksperimen sangat mudah. Karena Anda menggunakan Ubuntu, Anda mungkin tertarik dengan vmbuilder . Ini adalah alat yang memungkinkan Anda untuk menggunakan mesin virtual dalam hitungan menit (dokumentasi resmi mengklaim bahwa itu dapat dilakukan "dalam waktu sekitar satu menit", tetapi waktu aktual, bahkan pada perangkat keras yang cepat, adalah sekitar dua-tiga menit. .

Setelah penyebaran berakhir, Anda memiliki lingkungan yang dapat Anda mainkan. Jika Anda akhirnya menghancurkannya, itu tidak masalah: Anda menggunakan mesin lagi, dan dua menit kemudian Anda dapat melanjutkan.

Jika Anda menggunakan perangkat lunak seperti VMWare, Anda mungkin juga tertarik pada snapshots (perhatikan bahwa VMWare Player gratis tidak memiliki fitur ini; Anda harus membeli VMware Workstation). Perhatikan bahwa Hyper-V gratis dan mendukung snapshot (tetapi Anda harus menjalankan Windows).

Manfaat dari snapshot adalah Anda dapat mengambilnya dalam hitungan milidetik. Menggulung kembali ke snapshot membutuhkan waktu lebih lama, tetapi seringkali hanya hitungan detik. Ini membuat eksperimen menjadi lebih mudah dan lebih cepat.

Eksperimen ini tidak terbatas pada sistem operasi itu sendiri. Anda dapat melakukan semua hal yang melibatkan perangkat lunak. Punya aplikasi yang mencurigakan? Uji dalam VM — jika itu virus, tidak akan ada salahnya. Ingin menguji operasi pada basis data, mengingat hal itu dapat memengaruhi lingkungan? Uji dalam VM.

Bagaimana jika Anda melakukannya pada mesin non-tes nyata?

Hal-hal buruk terjadi. Catatan yang rmmelindungi Anda dari diri sendiri: rm -rf /tidak akan berfungsi: Anda harus menggunakan --no-preserve-root. Namun, bagaimana jika Anda benar-benar mencapai, secara tidak sengaja, untuk menghapus semuanya?

rmhanya memutus tautan file , tetapi datanya masih ada, di hard disk Anda. Ini memungkinkan untuk memulihkannya nanti (itulah sebabnya Anda tidak boleh hanya membuang hard disk Anda dengan data sensitif ketika mereka tidak berfungsi lagi).

Ini berarti Anda hanya perlu memiliki PC cadangan dengan penutup hard drive untuk benar-benar memulihkan hampir semua file. Yang penting adalah menghindari menulis apa pun ke hard disk untuk dipulihkan: data yang Anda tulis akan menimpa file yang tidak ditautkan.

Seperti dicatat oleh artikel di komentar 200_success , jika Anda bertindak cerdas, Anda bisa mendapatkan mesin kembali bahkan tanpa PC cadangan. Jika Anda hanya peduli pada data, saya tidak akan repot-repot — memulihkannya dengan PC cadangan jauh lebih mudah.

Alasannya adalah bahwa lapisan penamaan file (apa yang Anda lihat ls) benar-benar hanya untuk kenyamanan Anda. Driver sistem file dan kernel hanya peduli apa inode itu. Ketika file direferensikan oleh nama, itu segera diterjemahkan ke dalam inode yang berisi semua metadata termasuk izin, blok data pada disk, ID pemilik, ID grup dan jumlah tautan.

Hitungan tautan adalah yang paling penting di sini. Ketika Anda menghapus file pada sistem UNIX, panggilan sistem yang sebenarnya adalah unlink. Apa yang terjadi di bawah tenda adalah bahwa jumlah tautan (jumlah nama file dalam lapisan penamaan file) yang menunjuk pada inode itu dikurangi. Sistem file tahu bahwa file dihapus ketika jumlah tautan mencapai nol.

Ketika sebuah file dihapus rmolehnya juga akan mengedit file direktori (ya, itu hanya file yang berisi nama file dan inode di samping beberapa bit lain yang tidak penting untuk jawaban ini). Namun, penghentian tautan itulah yang sebenarnya membebaskan sumber daya disk.

Ini mengarah ke beberapa efek menarik lainnya. Pertama, dimungkinkan untuk membuka file yang jumlah tautannya nol. Ini terjadi ketika rm -rf /menghapus entri untuk /bin/rm. File terbuka (ada pegangan file untuk itu) tetapi inode ditandai dihapus (jumlah tautan = 0). Sumber daya disk tidak akan dirilis dan digunakan kembali sampai file menangani ditutup.

Efek menarik lainnya adalah apa yang terjadi ketika Anda memiliki inode dengan jumlah tautan lebih besar dari nol tetapi tidak ada dalam lapisan penamaan file yang menunjuk ke sana. Ini, dalam arti tertentu, adalah file yang sangat tersembunyi :). Untuk mendapatkan akses ke sana Anda harus menggunakan sesuatu tingkat rendah untuk referensi dengan nomor inode daripada dengan nama (karena tidak ada satu) atau mengedit entri direktori untuk menunjuk pada inode menggunakan hex editor.

Efek menarik ketiga adalah apa yang terjadi jika Anda mengurangi jumlah tautan menjadi nol tetapi tetap mengarahkan entri direktori pada inode. Saya akan menyerahkan kepada Anda untuk bereksperimen jika Anda mau. Namun, yang jelas, kedua terakhir ini menyebabkan sistem file berada dalam kondisi tidak konsisten.

Jawaban sebelumnya bagus, tetapi saya ingin menjelaskan satu detail:

rmbukan hanya perintah. Ini adalah program yang ditemukan di PATH.

Karena itu apa yang terjadi ketika Anda mengeksekusi adalah sebagai berikut:

• Anda memanggil (sebagai root) rm -rf /
• contoh program rmdimuat dalam memori dengan argumen -rfdan/
• berdasarkan pada argumen ini program rmmemulai operasinya (melalui semua yang ada di mount / partisi dan secara rekursif menghapus referensi [maaf untuk teknis;)]))
• setelah selesai, turunan rmprogram diturunkan
• pada titik ini satu-satunya hal dalam memori adalah program yang dimuat di sana sebelumnya (misalnya bash jika Anda memiliki terminal terbuka di Ubuntu, lingkungan Desktop, kernel, driver dll)
• jika Anda mencoba memanggil perintah lain (yang dalam kasus Linux menjadikannya program mandiri), itu akan gagal karena tidak ada program seperti itu ditemukan di lokasi PATH (dan lokasi PATH tidak ada lagi). Namun semuanya setelah dimuat akan tetap berjalan

Hanya demi memahami cara kerjanya coba instal LAMP di ubuntu (di Virtualbox), beberapa skrip dan cache opcode PHP, lalu panggil perintah jahat ini. Anehnya (jika Anda cukup beruntung dan cache opcode Anda tidak akan melihat penghapusan file php) Anda masih dapat mengakses skrip php dari luar melalui webserver apache!

PS: perintah jahat ini bahkan dijalankan sebagai root tidak akan menghapus everything, itu tidak dapat menghapus beberapa proses istimewa kernel dari /procdan tidak dapat menghapus beberapa hal dari /devperangkat yang muncul di sistem Anda sebagai file. Sebenarnya, root tidak sekuat yang kita kira, kernel di sisi lain.

PPS: Juga sebagai pemikiran kedua Anda juga akan masih memiliki file yang lockedoleh proses lain pada saat upaya penghapusan.

Setelah semuanya terhapus dari harddisk, kernel masih berfungsi tetapi agak macet karena tidak ada perangkat dan program, perintah, dll. Yang tersisa.

OS tidak akan berfungsi lagi.

Dan memang benar apa yang dikatakan Oli, perintah akan dimuat / dieksekusi ke dalam memori dan tidak ada yang akan menghentikannya kecuali Anda mematikan proses ini (tentu saja, jika perintah kill masih ada ^^).

Perlu diketahui bahwa jika sistem memiliki selinux dan selinux berada dalam mode menegakkan, dan kebijakan selinux diatur dengan benar; maka tidak banyak yang akan terjadi.

Selinux adalah kontrol akses wajib, yang berarti, di antara banyak hal, bahwa pengguna root benar-benar tidak memiliki lebih banyak kekuatan untuk menghancurkan sistem daripada pengguna lain pada sistem.

Selinux diberlakukan di kernel; Anda harus mengkompromikan kernel untuk mengatasinya.

Pada sistem yang dirancang dengan baik dengan kebijakan Selinux yang baik, root tidak akan bisa berbuat banyak pada sistem.

Revisi Android selanjutnya memiliki Selinux menegakkan hanya karena alasan ini.