Ubuntu 上使能 SELinux

  • 首发公号：Rand_cs

此文档说明如何在 ubuntu 上启用 SELinux，测试环境为虚拟机，开始前一定一定一定先来个快照，不要问我为什么有三个一定。

卸载 apparmor（可选）

ubuntu 默认安装的安全组件为 apparmor，网上文档说最好卸载掉 apparmor，可能冲突之类的问题，说法可能有点有误啊，apparmor 和 selinux 不兼容，当启用 selinux 后，apparmor 是不会生效的，所以应该是没有冲突这一说法，想卸载的可以执行以下命令。

sudo systemctl stop apparmor
sudo apt purge apparmor

安装 SELinux 相关包

sudo apt install selinux-basics

此命令会安装 SELinux default 策略，以及相关库、工具等等

sudo apt install auditd

auditd 用来收集 SELinux 相关日志，特别是访问拒绝日志

sudo apt install setools setoos-gui

包含了 SELinux 策略分析工具 apol

sudo apt install selinux-policy-dev

开发 selinux 相关程序需要用到此开发包

激活 SELinux

sudo selinux-activate

此命令做了两件事：

  1. 增加启动参数 security=selinux，意思是说系统的安全模块为 selinux，内核启动时，许多模块都需要传入相关参数，来开启或关闭某些功能。

    1. 启动参数位于 /boot/grub/grub.cfg 文件，sudo selinux-activate 之后我们可以看到如下字样：

    2. linux   /boot/vmlinuz-5.15.0-53-generic root=UUID=a1b7da65-54d8-415f-b4c0-6dc75fa37cf8 ro  security=selinux quiet splash $vt_handoff

    3. 当前系统的启动参数可以通过命令 cat /proc/cmdline 查看

  2. 在 / 根目录下创建 .autorelabel 文件，selinux 有一个开机自启动脚本，它会检查 .autorelabel 文件是否存在，如果存在，那么便会开始给整个文件系统上面的文件打上标签，可以理解为初始化客体安全上下文的操作，具体细节后面讲述。

    1. 这个开机自启动脚本为 /etc/init.d/selinux-autorelabel，但是 NOTE 开机的时候其实并不是直接执行此脚本，因为现在的 ubuntu 都是用 systemd，systemctl 这套服务启动，它兼容了老版 /etc/init.d/ 下面的启动脚本，会自动将这些脚本转换为 service 然后执行。

设置模式

SELinux 有三种模式：

  • disabled ，SELinux 处于禁止未启用的状态
  • permissive ，SELinux 对于白名单之外的所有访问只是记录日志，并不会真正的拒绝
  • enforcing ，SELinux 对于白名单之外的所有访问全部拒绝并记录日志

SELinux 的配置文件为 /etc/selinux/config，如下所示：

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
# enforcing - SELinux security policy is enforced.
# permissive - SELinux prints warnings instead of enforcing.
# disabled - No SELinux policy is loaded.
SELINUX=permissive
# SELINUXTYPE= can take one of these two values:
# default - equivalent to the old strict and targeted policies
# mls     - Multi-Level Security (for military and educational use)
# src     - Custom policy built from source
SELINUXTYPE=default

# SETLOCALDEFS= Check local definition changes
SETLOCALDEFS=0

这是默认的配置，有两项重要的内容：

  • SELINUX=permissive，表示设置 SELinux 模式为 permissive，如果有变动，下次启动生效
  • SELINUXTYPE=default，此项的注释实在有点扰人，它其实表示当前 SELinux 策略为 default，在 /etc/selinux 目录下会有对应的目录 default，不同的策略在 /etc/selinux/ 下面都要有对应的目录，其内容为对应的策略文件，通过设置 SELINUXTYPE=xxx 可以切换不同的策略。

NOTE：第一次使能 SELinux 时，千万千万千万不要将设置 SELINUX=enforcing，千万千万千万不要执行 sudo selinux-config-enforcing命令，它会设置 SELINUX=enforcing。不要问我为什么有三个千万，网上有的教程就是让第一次使能 SELinux 的朋友执行 SELINUX=enforcing，这不是坑人吗

重启

重启 ubuntu，在启动时，应该会出现如下所示的界面：

请添加图片描述

这就是在为整个文件系统打标签，可能需要等待一会儿，因为给磁盘上文件打标签本质上是在设置文件的 xattr 属性，所以比较慢

SELinux 相关命令

按照上面的步骤，不出意外的话应该是可以正常启动的，不能正常启动的解决方法见后

sestatus 命令查看当前 SELinux 状态

rand@rand-virtual-machine:~$ sestatus 
SELinux status:                 enabled               //SELinux 处于使能状态
SELinuxfs mount:                /sys/fs/selinux       
SELinux root directory:         /etc/selinux
Loaded policy name:             default
Current mode:                   permissive           //SELinux 当前模式为 permissive，setenforce 命令可以修改
Mode from config file:          permissive           //config文件中记录的模式
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Memory protection checking:     requested (insecure)
Max kernel policy version:      33

其他项的含义后面再详述，这里看到状态为 enabled、模式为 permissive 就行

getenforce 可以查看当前的 SELinux 模式

rand@rand-virtual-machine:~$ getenforce
Permissive

setenforce 可以修改当前的模式，0 表示 permissive，1 表示 enforcing

SELinux 刚使能，不要去执行 setenforce 1开启 enforcing 模式，会死机的

ls -Z可以查看文件的安全上下文（标签）

rand@rand-virtual-machine:~$ ls -Z
system_u:object_r:user_home_t:s0 公共的
system_u:object_r:user_home_t:s0 模板
system_u:object_r:user_home_t:s0 视频
system_u:object_r:user_home_t:s0 图片

安全上下文总共由四部分组成，第三部分 user_home_t 则是前文说到的类型，这里表示 “视频” “图片” 这几个目录的类型为 user_home_t。其余部分后面再讲述

ps -Z 可以查看进程的安全上下文

rand@rand-virtual-machine:~$ ps -Z
LABEL                               PID TTY          TIME CMD
system_u:system_r:initrc_t:s0      2306 pts/0    00:00:00 bash
system_u:system_r:initrc_t:s0      2513 pts/0    00:00:00 ps

bash 这个进程的类型为 initrc_t

不能开机了？

不能正常开机，多半两个问题：

  1. SELinux 模式设置成了 enforcing 模式，前面一直强调不要设置为 enforcing 模式，是因为直接应用 default 默认策略会产生许多的拒绝访问，导致不能正常启动，所以需要设置为 permissive 模式
  2. 文件系统未正常标记，可能是 / 根目录下未正常创建 .autorelabel 文件导致的

如何解决呢？

修改启动参数

系统启动时按下 Esc 键，进入如下界面：

请添加图片描述

第一个选项中按下 e 键，进入如下界面：

请添加图片描述

找到 linux 这一行，这一行便是启动参数，这里添加 selinux=0，"="两边不要有空格，selinux=0 表示禁止 selinux

按下 ctrl+x 重启，不出意外的话可以正常重启，执行 sestatus 命令，发现 selinux 禁止了

rand@rand-virtual-machine:~$ sestatus 
SELinux status:                 disabled

NOTE，此种方式修改启动参数只当前启动有效，如果想要永久生效，可以自己手动修改 /boot/grub/grub.cfg 文件

如果出现意外了，还是不能重启？

recovery mode

同样的系统启动时 Esc 进入grub，然后选择 “Ubuntu 的高级选项”，英文应该是 “Advanced options for ubuntu”

请添加图片描述

然后选择一个 recovery mode 回车

请添加图片描述

选择 root

请添加图片描述

此时会拉起一个 shell，让你登录 root 账户，这里需要 root 的密码，root 密码可能需要进入系统进行初始设置但你又进不去系统，死锁？反正这里先假设你有 root 账户

获取到 root shell 之后，修改 /etc/selinux/config 文件中的 SELINUX=permissive，或者 SELINUX=disabled 直接禁掉

在 / 根目录下 touch .autorelabel创建文件，加一重保险，执行 echo -F > .autorelabel这是为了强制对文件系统按照当前策略配置文件打标签，具体原因后面篇章详述

设置完成后，reboot 重启，应该是能正常重启了

还不能重启？恢复快照吧，在初期不熟悉 SELinux 的时候，使能时可能会遇到各种感觉匪夷所思的问题，所以最好时备份一下。

好了，本文就先到这里，后面篇章再说明动态添加策略以开启 enforcing 模式的问题，有什么问题欢迎来讨论交流。

  • 首发公号：Rand_cs

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/199106.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

红队攻防之hash登录RDP

红队攻防之hash登录RDP

没什么好害怕，孩子放心去飞吧，在你的身后有个等你的家 Restricted Admin Mode 受限管理模式是一项 Windows 功能，可防止将 RDP 用户的凭据存储在建立 RDP 连接的计算机的内存中。 这是用来防止用户（管理员）在 RDP 进…
阅读更多...
使用Pytorch从零开始构建扩散模型-DDPM

使用Pytorch从零开始构建扩散模型-DDPM

知识回顾: [1] 生成式建模概述 [2] Transformer I，Transformer II [3] 变分自编码器 [4] 生成对抗网络，高级生成对抗网络 I，高级生成对抗网络 II [5] 自回归模型 [6] 归一化流模型 [7] 基于能量的模型 [8] 扩散模型 I, 扩散模型 II 引言 去噪…
阅读更多...
Windows系统下搭建PXE Server

Windows系统下搭建PXE Server

在给一台服务器初始安装OS时一般有以下几种方式： 1、通过BMC挂载iso镜像来安装； 2、通过U盘启动来安装； 3、通过网络启动来安装； 方式1和方式2只能一台一台地进行，且需要有键盘和显示器，效率低下&#xff…
阅读更多...
Jmeter--如何监控服务器资源

Jmeter--如何监控服务器资源

在我们做项目的性能测试时，需要查看相关服务器的资源使用情况；本文以apache-Jmeter-5.5版本为例，使用PerfMon进行服务器资源监控的方案由两部分来实现：ServerAgent部署在被测服务器，负责资源耗用数据的采集&#xff0c…
阅读更多...
运营商网络性能测试-Y.1564

运营商网络性能测试-Y.1564

前言 在网络部署之后和业务开展之前，运营商迫切希望了解当前网络的性能状态，以便为商业规划和业务推广提供必要的基础数据支持。因此，高可靠性和高精确度的性能测试方法对于运营商评判网络性能的优劣，显得尤为重要，而…
阅读更多...
在虚拟机搭建nignx，和使用本地访问nginx的情况

在虚拟机搭建nignx，和使用本地访问nginx的情况

下载nginx yum install nginx 查看nginx是否安装成功。 nginx -v nginx的配置文件的目录和资源的目录。 先到nginx.conf的目录下，在 /etc/nginx/nginx.conf，编辑它。 vi /etc/nginx/nginx.conf 可以看到默认的html的目录。在 /usr/share/nginx/html 下面…
阅读更多...
算法 离散化

算法 离散化

整数离散化 适用条件 适用于有序的整数序列该序列的值域很大，该序列的数的个数很少使用的是数的相对大小而非绝对大小 算法思路 原数组 a ： 数组下标：0 1 2 3 4 数组元素：1 2 2 5 109 映射数组 ： 数组下标&…
阅读更多...
等保——密评技术要求

等保——密评技术要求

密评简介 密评定义：全称商用密码应用安全评估, 是指对采用商用密码技术、产品和服务集成建设的网络和信息系统密码应用的合规性、正确性、有效性进行评估。密评对象：重要信息系统、关键信息基础设施、网络安全等保三级及以上的系统。评测依据&#xff1…
阅读更多...
算法通关村-----数据流的中位数

算法通关村-----数据流的中位数

数据流的中位数 问题描述 中位数是有序整数列表中的中间值。如果列表的大小是偶数，则没有中间值，中位数是两个中间值的平均值。 例如 arr [2,3,4] 的中位数是 3 。 例如 arr [2,3] 的中位数是 (2 3) / 2 2.5 。 实现 MedianFinder 类: MedianFin…
阅读更多...
Photoshop Elements 2023 v21.0(ps简化版)

Photoshop Elements 2023 v21.0(ps简化版)

Photoshop Elements 2023是一款ps简化版图像处理软件，它加入了一些新的功能和工具，以帮助用户更高效地处理图片。 新功能：软件加入了黑科技，采用Adobe Sensei AI技术，主打人工智能，一键P图，新增…
阅读更多...
Haskell 安装 Cairo

Haskell 安装 Cairo

背景 Haskell 项目需要使用到柱状图，折线图等（demo 代码） 步骤（默认已安装 stack, cabal, ghcup） nameversionstack2.11.1cabal3.8.1.0ghcup0.1.20.0 在 package.yaml 中添加所需依赖 Chart 和 Chart-cairo name:…
阅读更多...
查看当前目录下文件数量

查看当前目录下文件数量

查看当前目录下文件数量 查看文件夹数量查看文件数查看所有文件（包括子文件）数量查看所有目录（包括子目录）数量查看图片数量 查看文件夹数量 ls -l | grep ^d | wc -l查看文件数 不包含文件夹 ls -l | grep ^- | wc -l查看所有…
阅读更多...
Selenium 学习（0.17）——软件测试之测试用例设计方法——白盒测试——逻辑覆盖法（条件覆盖和条件判定覆盖）

Selenium 学习（0.17）——软件测试之测试用例设计方法——白盒测试——逻辑覆盖法（条件覆盖和条件判定覆盖）

条件覆盖 设计测试用例，使每个判断中每个条件的可能取值至少满足一次。 条件判定覆盖 通过设计足够的测试用例，满足如下条件： 所有条件的可能至少执行一次的取值 所有判断的可能结果至少执行一次 条件判定覆盖同时满足判定覆…
阅读更多...
springcloud nacos配置优先级研究及配置管理最佳实践

springcloud nacos配置优先级研究及配置管理最佳实践

目录 背景工具版本SpringCloud配置存放位置及相应优先级代码中nacosjar包外挂 多种配置共同存在时的优先级项目配置管理最佳实践无nacos的情况有nacos的情况 参考文献 背景 公司有很多应用是基于SpringBoot/SpringCloud开发。由于在配置文件中经常会涉及数据库账号密码之类的敏…
阅读更多...
【Java学习笔记】73 - 正则表达式

【Java学习笔记】73 - 正则表达式

项目代码 https://github.com/yinhai1114/Java_Learning_Code/tree/main/IDEA_Chapter27/src/com/yinhai/regexp 一、引入正则表达式 1.提取文章中所有的英文单词 2.提取文章中所有的数字 3.提取文章中所有的英文单词和数字 4.提取百度热榜标题 正则表达式是处理文本的利器…
阅读更多...
【ShardingSphere专题】SpringBoot整合ShardingSphere（一、数据分片入门及实验）

【ShardingSphere专题】SpringBoot整合ShardingSphere（一、数据分片入门及实验）

目录 前言阅读对象笔记正文一、ShardingSphere介绍1.1 ShardingSphere-JDBC：代码级别1.2 ShardingSphere-Proxy：应用级别1.3 横向对比图 二、ShardingSphere之——数据分片2.1 基本介绍2.2 分片的形式2.2.1 垂直分片2.2.2 水平分片 2.3 数据分片核心概念…
阅读更多...
JavaWeb后端数据库MySQL的使用

JavaWeb后端数据库MySQL的使用

JavaWeb MySQLSQL数据库设计 多表设计1对多1对1多对多 多表查询连接查询内连接外连接左外连接右外连接 子查询事务索引 MySQL MySQL数据模型 关系型数据库：建立在关系模型基础上，由多张相互连接的二维表组成的数据库。 SQL SQL：操作关系型数…
阅读更多...
【读论文】【泛读】S-NERF: NEURAL RADIANCE FIELDS FOR STREET VIEWS

【读论文】【泛读】S-NERF: NEURAL RADIANCE FIELDS FOR STREET VIEWS

文章目录 0. Abstract1. Introduction2. Related work3. Methods-NERF FOR STREET VIEWS3.1 CAMERA POSE PROCESSING3.2 REPRESENTATION OF STREET SCENES3.3 DEPTH SUPERVISION3.4 Loss function 4. EXPERIMENTS5. ConclusionReference 0. Abstract Problem introduction&…
阅读更多...
井盖倾斜怎么办？智能井盖传感器监测方法

井盖倾斜怎么办？智能井盖传感器监测方法

井盖倾斜是一个紧迫的问题，如果不及时处理可能会导致道路安全性下降，进而增加车辆和行人发生意外的风险。为应对这一问题现已开发出智能井盖传感器，它可以持续监测井盖的状态，一旦发现倾斜等异常情况会立即发出警报。 在智慧城市的…
阅读更多...
前端---JavaScript篇

前端---JavaScript篇

1. 介绍 JavaScript 是 前端开发人员必须学习的 3 门语言中的一门： HTML 定义了网页的内容CSS 描述了网页的布局JavaScript 控制了网页的行为 接下来开始详解JavaScript。 2.引入方法 js有两种导入方式，一种是内部脚本：直接在html页面中…
阅读更多...
最新文章

Copyright @ 2022~2023