Android CTS中neverallow規則生成過程

来源:https://www.cnblogs.com/liwugang/archive/2019/12/29/12115421.html
-Advertisement-
Play Games

CTS裡面SELinux相關測試中neverallow測試項占絕大多數，Android系統開發者都應該知道，在修改sepolicy時，需要確保不能違反這些neverallow規則，不然會過不了CTS。CTS中nerverallow測試都是在SELinuxNeverallowRulesTest.jav ...


CTS裡面SELinux相關測試中neverallow測試項占絕大多數，Android系統開發者都應該知道，在修改sepolicy時，需要確保不能違反這些neverallow規則，不然會過不了CTS。CTS中nerverallow測試都是在SELinuxNeverallowRulesTest.java文件中，並且從AOSP代碼中發現該文件不是人工提交的，而是通過python腳本生成的，為了以後更好的修改sepolicy，就需要瞭解下SELinuxNeverallowRulesTest.java是如何生成的。

Makefile

首先看下SELinuxNeverallowRulesTest.java的生成的Makefile.

selinux_general_policy := $(call intermediates-dir-for,ETC,general_sepolicy.conf)/general_sepolicy.conf

selinux_neverallow_gen := cts/tools/selinux/SELinuxNeverallowTestGen.py

selinux_neverallow_gen_data := cts/tools/selinux/SELinuxNeverallowTestFrame.py

LOCAL_ADDITIONAL_DEPENDENCIES := $(COMPATIBILITY_TESTCASES_OUT_cts)/sepolicy-analyze

LOCAL_GENERATED_SOURCES := $(call local-generated-sources-dir)/android/cts/security/SELinuxNeverallowRulesTest.java # 目標文件

$(LOCAL_GENERATED_SOURCES) : PRIVATE_SELINUX_GENERAL_POLICY := $(selinux_general_policy)
$(LOCAL_GENERATED_SOURCES) : $(selinux_neverallow_gen) $(selinux_general_policy) $(selinux_neverallow_gen_data)
    mkdir -p $(dir $@)
    $< $(PRIVATE_SELINUX_GENERAL_POLICY) $@
# $< 為：右邊依賴的第一個元素， 即 $(selinux_neverallow_gen) = cts/tools/selinux/SELinuxNeverallowTestGen.py
# $@ 為：左邊目標，即要生成的目標文件SELinuxNeverallowRulesTest.java
# 這條命令相當於 cts/tools/selinux/SELinuxNeverallowTestGen.py $(call intermediates-dirfor,ETC,general_sepolicy.conf)/general_sepolicy.conf SELinuxNeverallowRulesTest.java

include $(BUILD_CTS_HOST_JAVA_LIBRARY)

從上面可以看到，執行SELinuxNeverallowTestGen.py general_sepolicy.conf SELinuxNeverallowRulesTest.java會生成SELinuxNeverallowRulesTest.java文件。

general_sepolicy.conf 生成

該文件的生成Makfile

# SELinux policy embedded into CTS.
# CTS checks neverallow rules of this policy against the policy of the device under test.
##################################
include $(CLEAR_VARS)

LOCAL_MODULE := general_sepolicy.conf # 目標文件
LOCAL_MODULE_CLASS := ETC
LOCAL_MODULE_TAGS := tests

include $(BUILD_SYSTEM)/base_rules.mk

$(LOCAL_BUILT_MODULE): PRIVATE_MLS_SENS := $(MLS_SENS)
$(LOCAL_BUILT_MODULE): PRIVATE_MLS_CATS := $(MLS_CATS)
$(LOCAL_BUILT_MODULE): PRIVATE_TARGET_BUILD_VARIANT := user
$(LOCAL_BUILT_MODULE): PRIVATE_TGT_ARCH := $(my_target_arch)
$(LOCAL_BUILT_MODULE): PRIVATE_WITH_ASAN := false
$(LOCAL_BUILT_MODULE): PRIVATE_SEPOLICY_SPLIT := cts
$(LOCAL_BUILT_MODULE): PRIVATE_COMPATIBLE_PROPERTY := cts
$(LOCAL_BUILT_MODULE): $(call build_policy, $(sepolicy_build_files), \
$(PLAT_PUBLIC_POLICY) $(PLAT_PRIVATE_POLICY)) # PLAT_PUBLIC_POLICY = syetem/sepolicy/public PLAT_PRIVATE_POLICY = system/sepolicy/private
    $(transform-policy-to-conf) # 這裡是使用m4將te規則文件都處理合成為目標文件$@，即general_sepolicy.conf
    $(hide) sed '/dontaudit/d' $@ > [email protected]

##################################

可以看到，general_sepolicy.conf 文件是將system/sepolicy/public和system/sepolicy/private規則文件整合在一起，而這些目錄包含的是AOSP sepolicy大多數配置信息。

SELinuxNeverallowTestGen.py 腳本邏輯

生成的邏輯都是在該腳本中，下麵腳本我調整了順序，方便說明執行的邏輯，腳本代碼

#!/usr/bin/env python

import re
import sys
import SELinuxNeverallowTestFrame

usage = "Usage: ./SELinuxNeverallowTestGen.py <input policy file> <output cts java source>"

if __name__ == "__main__":
    # check usage
    if len(sys.argv) != 3:
        print usage
        exit(1)
    input_file = sys.argv[1]
    output_file = sys.argv[2]

    # 這三個變數是同目錄下SELinuxNeverallowTestFrame.py文件中的內容，是生成java文件的模版
    src_header = SELinuxNeverallowTestFrame.src_header
    src_body = SELinuxNeverallowTestFrame.src_body
    src_footer = SELinuxNeverallowTestFrame.src_footer

    # grab the neverallow rules from the policy file and transform into tests
    neverallow_rules = extract_neverallow_rules(input_file) # 提取neverallow規則從general_sepolicy.conf中
    i = 0
    for rule in neverallow_rules:
        src_body += neverallow_rule_to_test(rule, i)
        i += 1
    # 然後將neverallow規則寫入到SELinuxNeverallowRulesTest.java文件中
    with open(output_file, 'w') as out_file:
        out_file.write(src_header)
        out_file.write(src_body)
        out_file.write(src_footer)

# extract_neverallow_rules - takes an intermediate policy file and pulls out the
# neverallow rules by taking all of the non-commented text between the 'neverallow'
# keyword and a terminating ';'
# returns: a list of rules
def extract_neverallow_rules(policy_file):
    with open(policy_file, 'r') as in_file:
        policy_str = in_file.read()

        # full-Treble only tests are inside sections delimited by BEGIN_TREBLE_ONLY
        # and END_TREBLE_ONLY comments.

        # uncomment TREBLE_ONLY section delimiter lines
        remaining = re.sub(
            r'^\s*#\s*(BEGIN_TREBLE_ONLY|END_TREBLE_ONLY|BEGIN_COMPATIBLE_PROPERTY_ONLY|END_COMPATIBLE_PROPERTY_ONLY)',
            r'\1', # group 引用
            policy_str,
            flags = re.M) # 該方法是將 #開頭的註釋行任意空格後跟著BEGIN_TREBLE_ONLY、END_TREBLE_ONLY、BEGIN_COMPATIBLE_PROPERTY_ONLY和END_COMPATIBLE_PROPERTY_ONLY時，替換為這些關鍵字，即去掉註釋
        # remove comments 
        remaining = re.sub(r'#.+?$', r'', remaining, flags = re.M)  # 將文件中的 # 開頭註釋行去掉
        # match neverallow rules
        lines = re.findall(
            r'^\s*(neverallow\s.+?;|BEGIN_TREBLE_ONLY|END_TREBLE_ONLY|BEGIN_COMPATIBLE_PROPERTY_ONLY|END_COMPATIBLE_PROPERTY_ONLY)',
            remaining,
            flags = re.M |re.S) # 將neverallow和以這幾個關鍵字開頭的行取出來

        # extract neverallow rules from the remaining lines
        # 這些關鍵字會修飾裡面的neverallowrules，若treble_only_depth > 1 說明是適用於treble系統， 若compatible_property_only_depth > 1，說明適用於 compatible_property 系統
        rules = list()
        treble_only_depth = 0
        compatible_property_only_depth = 0
        for line in lines:
            if line.startswith("BEGIN_TREBLE_ONLY"):
                treble_only_depth += 1
                continue
            elif line.startswith("END_TREBLE_ONLY"):
                if treble_only_depth < 1:
                    exit("ERROR: END_TREBLE_ONLY outside of TREBLE_ONLY section")
                treble_only_depth -= 1
                continue
            elif line.startswith("BEGIN_COMPATIBLE_PROPERTY_ONLY"):
                compatible_property_only_depth += 1
                continue
            elif line.startswith("END_COMPATIBLE_PROPERTY_ONLY"):
                if compatible_property_only_depth < 1:
                    exit("ERROR: END_COMPATIBLE_PROPERTY_ONLY outside of COMPATIBLE_PROPERTY_ONLY section")
                compatible_property_only_depth -= 1
                continue
            rule = NeverallowRule(line)
            rule.treble_only = (treble_only_depth > 0)
            rule.compatible_property_only = (compatible_property_only_depth > 0)
            rules.append(rule)

        if treble_only_depth != 0:
            exit("ERROR: end of input while inside TREBLE_ONLY section")
        if compatible_property_only_depth != 0:
            exit("ERROR: end of input while inside COMPATIBLE_PROPERTY_ONLY section")

        return rules

# neverallow_rule_to_test - takes a neverallow statement and transforms it into
# the output necessary to form a cts unit test in a java source file.
# returns: a string representing a generic test method based on this rule.

# 將neverallowrules 替換到java模版中
def neverallow_rule_to_test(rule, test_num):
    squashed_neverallow = rule.statement.replace("\n", " ")
    method  = SELinuxNeverallowTestFrame.src_method
    method = method.replace("testNeverallowRules()",
        "testNeverallowRules" + str(test_num) + "()")
    method = method.replace("$NEVERALLOW_RULE_HERE$", squashed_neverallow)
    method = method.replace(
        "$FULL_TREBLE_ONLY_BOOL_HERE$",
        "true" if rule.treble_only else "false")
    method = method.replace(
        "$COMPATIBLE_PROPERTY_ONLY_BOOL_HERE$",
        "true" if rule.compatible_property_only else "false")
    return method

總結下腳本功能

  1. 將BEGIN_TREBLE_ONLY|END_TREBLE_ONLY|BEGIN_COMPATIBLE_PROPERTY_ONLY|
    END_COMPATIBLE_PROPERTY_ONLY這幾個關鍵字前面的註釋去掉，以便後面解析時使用；
  2. 刪除冗餘的註釋行；

  3. 取neverallow和上面四個關鍵字的部分進行解析，並根據下麵情況對treble_only和compatible_property_only進行設置；

    • neverallow 包含在BEGIN_TREBLE_ONLY和END_TREBLE_ONLY之間，treble_only被設置為true；
    • neverallow 包含在BEGIN_COMPATIBLE_PROPERTY_ONLY和END_COMPATIBLE_PROPERTY_ONLY之間，compatible_property_only被設置為true；
    • neverallow 不在任何BEGIN_TREBLE_ONLY/END_TREBLE_ONLY和BEGIN_COMPATIBLE_PROPERTY_ONLY/END_COMPATIBLE_PROPERTY_ONLY之間，則treble_only和compatible_property_only都被設置為false。
  4. 然後用neverallow部分、treble_only和compatible_property_only值對下麵方法模板中的$NEVERALLOW_RULE_HERE$、$FULL_TREBLE_ONLY_BOOL_HERE$和$COMPATIBLE_PROPERTY_ONLY_BOOL_HERE$分別替換。
src_method = """
    @RestrictedBuildTest
    public void testNeverallowRules() throws Exception {
        String neverallowRule = "$NEVERALLOW_RULE_HERE$";
        boolean fullTrebleOnly = $FULL_TREBLE_ONLY_BOOL_HERE$;
        boolean compatiblePropertyOnly = $COMPATIBLE_PROPERTY_ONLY_BOOL_HERE$;

        if ((fullTrebleOnly) && (!isFullTrebleDevice())) {
            // This test applies only to Treble devices but this device isn't one
            return;
        }
        if ((compatiblePropertyOnly) && (!isCompatiblePropertyEnforcedDevice())) {
            // This test applies only to devices on which compatible property is enforced but this
            // device isn't one
            return;
        }

        // If sepolicy is split and vendor sepolicy version is behind platform's,
        // only test against platform policy.
        File policyFile =
                (isSepolicySplit() && mVendorSepolicyVersion < P_SEPOLICY_VERSION) ?
                deviceSystemPolicyFile :
                devicePolicyFile;

        /* run sepolicy-analyze neverallow check on policy file using given neverallow rules */
        ProcessBuilder pb = new ProcessBuilder(sepolicyAnalyze.getAbsolutePath(),
                policyFile.getAbsolutePath(), "neverallow", "-w", "-n",
                neverallowRule);
        pb.redirectOutput(ProcessBuilder.Redirect.PIPE);
        pb.redirectErrorStream(true);
        Process p = pb.start();
        p.waitFor();
        BufferedReader result = new BufferedReader(new InputStreamReader(p.getInputStream()));
        String line;
        StringBuilder errorString = new StringBuilder();
        while ((line = result.readLine()) != null) {
            errorString.append(line);
            errorString.append("\\n");
        }
        assertTrue("The following errors were encountered when validating the SELinux"
                   + "neverallow rule:\\n" + neverallowRule + "\\n" + errorString,
                   errorString.length() == 0);
    }

本地生成 SELinuxNeverallowRulesTest.java 文件

在修改SELinux後，想確定下是否滿足neverallow規則，雖然編譯過程中會進行neverallow檢查，但由於打包時間比較耗時，如果在本地生成的話，那速度會更快。

本地生成 SELinuxNeverallowRulesTest.java 命令

預設是在源碼的根目錄

make general_sepolicy.conf

cts/tools/selinux/SELinuxNeverallowTestGen.py out/target/product/cepheus/obj/ETC/general_sepolicy.conf_intermediates/general_sepolicy.conf SELinuxNeverallowRulesTest.java

由於某些規則是使用attribute，可能不是很明顯，還需要結合其他方法來確定。

總結

從生成代碼中可以看到，neverallow規則都屬於AOSP system/sepolicy/private和system/sepolicy/public中的neverallow，所以在添加規則時不能修改neverallow，也不能違背。

附件

cts_neverallow.zip，中包含有：

SELinuxNeverallowTestGen.py 腳本

general_sepolicy.conf

SELinuxNeverallowTestFrame.py Java測試代碼模板

first 為SELinuxNeverallowTestGen.py第一步執行的結果

second 為SELinuxNeverallowTestGen.py第二步執行的結果

SELinuxNeverallowRulesTest.java 為生成的文件

後面三個文件是前三個文件所生成，執行命令為：

SELinuxNeverallowTestGen.py general_sepolicy.conf SELinuxNeverallowRulesTest.java

鏈接

https://liwugang.github.io/2019/12/29/CTS-neverallow.html


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • MySQL卸載
    使用 控制面板 電腦管家 卸載完成後 刪除原來的安裝目錄 去C盤顯示——隱藏的項目——刪除ProgramData目錄下的MySQL文件夾 清理註冊表： 運行(win+R)：regedit ...
  • oracle資料庫應用開發經驗
    l 日誌表應該以時間做分區，方便清理 一般應用都會有一些表用來記錄用戶操作日誌，數據變更記錄，交易流水等日誌型的庫表。這些表最好按時間欄位做分區，這樣在遷移或者清理歷史記錄時會比較方便，藉助oracle的分區交換清理特性，效率比delete高很多。 l 頻繁訪問的sequece應該增加cache O ...
  • Oracle12c傳統資料庫模式 OGG
    OGG12C 配置 環境配置： 安裝資料庫Oracle12c 安裝源端OGG：oggs PORT:7809 安裝目標端OGG：oggt PORT:7909 源端和目標端地址：127.0.0.1 源端資料庫： 修改源資料庫配置： SQL> sqlplus / as sysdba; SQL>archiv ...
  • 利用OGG進行資料庫表的初始化
    利用OGG進行資料庫表的初始化 前提是已經搭建好了OGG的運行環境和OGG程式的安裝部署！！！ 若不知道如何安裝OGG請查閱博客中相關安裝部署文檔。 1、停止目標端replicat進程re1 2、配置extract進程ei（若目標端有ei進程之前投遞的文件則先清空） GGSCI (localhost ...
  • MySQL性能優化：MySQL中的隱式轉換造成的索引失效
    資料庫優化是一個任重而道遠的任務，想要做優化必須深入理解資料庫的各種特性。在開發過程中我們經常會遇到一些原因很簡單但造成的後果卻很嚴重的疑難雜症，這類問題往往還不容易定位，排查費時費力最後發現是一個很小的疏忽造成的，又或者是因為不瞭解某個技術特性產生的。 於資料庫層面，最常見的恐怕就是索引失效了，且 ...
  • Neo4j入門·開始使用
    前言 關係，指事物之間相互作用、相互影響的狀態。 數據之間的關係也是如此，數據之間關係的存儲在RDS就已經開始。從資料庫支持的外鍵，到手動建立的關係表，人們採取了許多方法，只為瞭解決查詢複雜、緩慢等問題。 在NoSQL興起的今天，圖資料庫進入了我們的視野，關係模型靜態、剛性、不靈活的本質在網路狀的存 ...
  • 靈活運用SQL Server2008 SSIS變數
    在SSIS開發ETL(Extract-Transform-Load),數據抽取、轉換、裝載的過程。我們需要自己定義變數 一、SSIS變數簡介 SSIS(SQL Server Integration Services,SQL Server整合服務)變數分分為兩種，一種是系統變數，一種用戶定義的變數。系 ...
  • 大數據才是未來，Oracle、SQL Server成昨日黃花？
    1. 引子 有人在某個專註SQL的公眾號留言如下： 這個留言觸碰到一個非常敏感的問題：搞關係型資料庫還有前途嗎？現在都2020年了，區塊鏈正火熱，AI人才已經“過剩”，大數據都成了稀鬆平常的蘿蔔白菜，你卻還在搞SQL Server? 你還在搞SQL? 你就是那個被時代淘汰的人! 2. 原因 最近10 ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類