轉自:https://blog.csdn.net/murphykwu/article/details/52457667 selinux的概念如上一篇鏈接所示: http://www.cnblogs.com/linhaostudy/p/8659662.html 一、SELinux資源訪問基本概念 SE ...
轉自:https://blog.csdn.net/murphykwu/article/details/52457667
selinux的概念如上一篇鏈接所示:
http://www.cnblogs.com/linhaostudy/p/8659662.html
一、SELinux資源訪問基本概念
SELinux使用類型強制來改進強制訪問控制。所有的主體(程式進程)對客體(文件/socket等資源)的訪問都有一條TE規則來許可。當程式訪問一個資源的時候,系統會搜索所有的TE規則集,並根據結果進行處理。這個規則集是由訪問向量規則(AV, Access Vector)來描述的。
內核向外部暴露允許訪問的資源許可權,由TE來描述主體擁有什麼樣的訪問權。SELinux定義了30個不同的客體類別:
security process system capability filesystem file dir fd lnk_file chr_file blk_file socket_file ...
每個客體類別都定義了操作許可,比如針對file有19個操作許可:
ioctl read write create getattr setattr lock relablefrom relableto append unlink link rename execute swapon quotaon mounton execute_no_trans entrypoint
這兩個內容在後面介紹常用語法的時候會涉及到。所以對於file的操作許可,我們可以看到基本上是對文件的操作方法,所以程式調用這些功能的時候,系統會檢查是否有一個TE規則,授予了該程式許可權來使用該功能。
二、Android中的SELinux
2.1 開啟SELinux
首先必須先開啟SELinux功能,google提供了開啟該選項的開關。在BoardConfig.mk裡面會定義如下變數:
1 BOARD_SEPOLICY_DIRS += build/target/board/generic/sepolicy
對應路徑下麵就會有很多TE文件來描述進程對資源的訪問許可。
2.2 聲明類型
1 type 類型名稱 2 3 type system_app;
2.3 關聯類型和屬性
有兩種方法可以將某個類型跟某個屬性關聯起來。
一,在聲明類型的時候就關聯已經定義的屬性。
1 type system_app, domain;
這個就在定義system_app的時候就將它跟已經定義的domain屬性關聯起來了。
1 typeattribute platform_app mlstrustedsubject;
如果已經定義了類型platform_app,可以用typeattribute將它和已經定義的mIstrustedsubject關聯起來。
註意:所有的屬性和類型都共用一個命名空間,所以命名的時候不要出現同名的屬性和類型哦。
三、訪問向量(AV)規則
AV用來描述主體對客體的訪問許可。通常有四類AV規則:
-
allow:表示允許主體對客體執行許可的操作。
-
neverallow:表示不允許主體對客體執行制定的操作。
-
auditallow: 表示允許操作並記錄訪問決策信息。
-
dontaudit:表示不記錄違反規則的決策信息,切違反規則不影響運行
通用的類型規則語法位:
1 allow platform_app debugfs:file { read ioctl };
表示類別為platform_app的程式進程,對debugfs類型的文件執行read和ioctl操作。
四、一些特殊的配置文件:
- external/sepolicy/attributes -> 所有定義的attributes都在這個文件
- external/sepolicy/access_vectors -> 對應了每一個class可以被允許執行的命令
- external/sepolicy/roles -> Android中只定義了一個role,名字就是r,將r和attribute domain關聯起來
- external/sepolicy/users -> 其實是將user與roles進行了關聯,設置了user的安全級別,s0為最低級是預設的級別,mls_systemHigh是最高的級別
- external/sepolicy/security_classes -> 指的是上文命令中的class,個人認為這個class的內容是指在android運行過程中,程式或者系統可能用到的操作的模塊
- external/sepolicy/te_macros -> 系統定義的巨集全在te_macros文件
- external/sepolicy/*.te -> 一些配置的文件,包含了各種運行的規則
五、selinux有兩種工作模式
“permissive”:所有操作都被允許(即沒有MAC),但是如果有違反許可權的話,會記錄日誌
“enforcing”:所有操作都會進行許可權檢查
六、其他
在te文件中經常出現如下的函數:
1 unix_socket_connect(platform_app, agpsd, mtk_agpsd);
這個其實是一個巨集。它定義在文件名為te_macros的文件裡面,經過全局搜索這個巨集,發現如下定義:
1 unix_socket_connect($1, qmuxd, qmux) 2 3 allow qmux $1_qmuxd_socket:sock_file { getattr unlink }; 4 5 ')
其實也是一個allow訪問向量。
七、總結
在分析時時刻牢記,TE規則描述的是主體對客體訪問的許可。TE的最小單位是類型,這個概念抽象了主體和客體。每個主體對客體執行某種許可,都需要有對應的av規則描述,否則就會失敗。在實際項目過程中如果碰到相關的問題,可能就需要修改te文件,編輯相關的操作許可。