Как безопасно запустить ненадежный исполняемый файл в Linux?

Со страницы руководства Firejail:

   Without  any  options,  the sandbox consists of a filesystem build in a
   new mount namespace, and new PID and UTS namespaces. IPC,  network  and
   user  namespaces  can  be  added  using  the  command line options. The
   default Firejail filesystem is based on the host  filesystem  with  the
   main  system directories mounted read-only. These directories are /etc,
   /var, /usr, /bin, /sbin, /lib, /lib32, /libx32 and /lib64.  Only  /home
   and /tmp are writable.

Это высокоуровневое описание, есть и другие вещи, например, / boot занесен в черный список, также как и /sbin и / usr /sbin.

https://firejail.wordpress.com/features-3/man-firejail/

Вы также можете посмотреть этот документ: https://firejail.wordpress.com/documentation-2/firefox-guide/ - у них очень хорошее описание файловой системы.

Просто запустите его для отдельной установки - установите отдельную установку на внешний диск или другой жесткий диск, убедитесь, что разделы основной установки не смонтированы (или, что еще лучше, отключите их), и протестируйте. Вы можете сделать резервную копию этой предустановки на случай, если она вам понадобится снова, и сбросить ее, когда закончите.

Это гораздо более надежный метод, чем песочница / тюрьма, и вы можете с уверенностью относиться ко второй установке как к одноразовой и / или использовать ее только при необходимости.

Просто запустите в прямом эфире из ISO

Все изменения файловой системы сохраняются только в оперативной памяти и теряются/сбрасываются при перезагрузке (при условии, что ничего не было записано на какие-либо накопители). Доступ к «голому железу» можно получить напрямую, и не нужно беспокоиться о джейлбрейке или побеге виртуальной машины. Вы ограничены только в/пространство файловой системы, доступное для записи новых файлов.

Вы также можете полностью отключить основной жесткий диск (если вы беспокоитесь, что он может быть перезаписан, если его не прочитать и не предоставить общий доступ) и запустить ISO с USB-накопителя (например, флэш-накопителя, внешнего жесткого диска) или даже со второго жесткого диска. диск — аналогично ответу Journeyman Geek, но сделать загрузочный USB-накопитель намного проще, чем полную установку (imo).

Если у вас достаточно оперативной памяти (возможно, более 4 ГБ), вы можете скопировать всю файловую систему в оперативную память, а затем отключить USB-накопитель, чтобы даже на USB-накопитель нельзя было записать данные.

• Если поддерживается, опция загрузки для копирования всего в оперативную память часто имеет вид «toram».

Со многими ISO-образами можно даже скопировать файл ISO, например, в загрузочный раздел вашего установленного в данный момент жесткого диска, а затем использовать grub для загрузки напрямую из ISO-образа. Хотя он работает не для каждого ISO, и ему могут потребоваться некоторые специальные параметры загрузки (например, MX-Linux может использовать fromiso=[iso file] blab=[метка раздела] и т. д. Он довольно надежен, имеет инструменты для создания ISO. из работающей системы, запишите ISO на USB-накопитель (сохранение необязательно) и даже выполните «экономную установку», при которой содержимое ISO загружается с раздела жесткого диска).

• Остерегайтесь программ, которые автоматически создают загрузочный USB- накопитель.Это сохранит изменения на USB-накопителе, но даже сохранение, вероятно, можно отключить с помощью некоторых параметров загрузки.

• Существует прошивка, которая может быть повреждена на вашей материнской плате, накопителях, графических процессорах/видеокартах и, конечно же, сетевых устройствах, если вы планируете передать полный контроль этому загадочному исполняемому файлу. Апач был в основном прав в своем вступлении в шляпе из фольги .