* 挂载原理：绑定挂载让同一目录内容出现在另一个路径，重挂载可把只读点改为可写。本章讲清原理与检查点，不提供自动化劫持脚本。 * 容器语境：持 `CAP_SYS_ADMIN` 且可访问宿主设备 / 根目录时，挂载条件才成立，需与设备可见性、命名空间隔离成链，单独能力位不下结论。 * 临时文件系统：`tmpfs` 挂到内存目录，重启即失，用于理解无落盘存放的原理，不展开具体落地操作。 * 防守边界：收窄 `CAP_SYS_ADMIN` 授予、隔离设备与挂载点、禁止非必要绑定挂载，直接抬高挂载门槛。 利用边界：挂载本身需要特权，普通用户调用返 EPERM。本章不提供完整自动化劫持 / 逃逸脚本。仅限本人自研隔离靶场或书面授权环境，公共资产不碰。 # 第 32 章 原始套接字族 —— 二层 / 三层包构造 > B 级库・标准四段