SELinux 入门 pt.2

哈喽大家好，我是咸鱼

在《SELinux 入门 pt.1》中，咸鱼向各位小伙伴介绍了 SELinux 所使用的 MAC 模型、以及几个重要的概念（主体、目标、策略、安全上下文）

我们还讲到：

  • 对于受 SELinux 管制的进程，会先检查 SELinux 策略规则，然后再检查 DAC 规则
  • 对于不受 SELinux 管制的进程，仍然会执行 DAC 规则

也就是说对于受 SELinux 管制的进程而言，想要对文件资源进行操作，需要先经过 SELinux 策略规则的三个关卡（SELinux 模式查看——>策略规则比对——>安全上下文比对），然后再经过 DAC 规则中的 rwx 权限比对

过程如下图所示
在这里插入图片描述
需要注意的是，并不是所有的程序都会被 SELinux 所管制，被 SELinux 管制的进程主体被称为【受限程序主体】

举个例子，我们看一下 crond 进程和 bash 进程

# 通过 ps 命令查看
[root@localhost ~]# ps -eZ | grep -E 'cron|bash'
system_u:system_r:crond_t:s0-s0:c0.c1023 1340 ? 00:00:00 atd
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 28094 pts/0 00:00:00 bash
system_u:system_r:crond_t:s0-s0:c0.c1023 28174 ? 00:00:00 crond

可以看到，crond 是受限的主体进程（crond_t），而 bash 因为是本机进程，因此就是不受限 unconfined_t 的类型，即 bash 可以直接进行 rwx 权限比对，而不需要进行 SELinux 策略规则比对

接下来我们来分别看一下 SELinux 策略规则比对中的三个关卡

SELinux 运行模式

受限程序主体首先来到第一关：SELinux 运行模式比对

SELinux 有三种运行模式，用于控制系统中进程和文件资源访问的安全性

这三种模式分别是：

  • Enforcing（强制）

这个是默认的模式，在这个模式下 SELinux 正常运行，会强制执行访问控制规则，限制进程和用户对系统资源的访问

如果一个进程试图执行未经授权的操作，如读取或修改受限文件，强制模式会阻止这些操作并记录相关的安全事件

  • permissive（宽松）

在宽松模式下，SELinux 会记录违反访问规则的操作，但不会阻止它们

这允许用户查看哪些操作会受到限制，但不会影响应用程序的正常运行

宽容模式通常用于识别需要修改的规则，以确保应用程序在强制模式下可以正常运行

  • disabled（禁用）

在禁用模式下，SELinux 完全被关闭，不再对进程和文件访问进行任何安全限制

如何查看当前 SELinux 的运行模式？

[root@localhost ~]# getenforce 
Enforcing

如果返回结果是 Enforcing，表示当前运行在强制模式；如果是 Permissive，表示运行在宽容模式；如果是 Disabled，表示 SELinux 被禁用

如何切换 SELinux 运行模式？

  • 临时切换
# 更改为 enforcing 模式
[root@localhost ~]# setenforce 1

# 更改为 permissive 模式
[root@localhost ~]# setenforce 0

PS：临时切换系统重启后会恢复为默认模式

如果 SELinux 为 disabled 运行模式，表示 SELinux 已经关闭，是无法切换成 Enforcing 模式或 Permissive 模式的

  • 永久切换

如果要永久更改，需要修改配置文件

以 CentOS 7.x 为例

[root@localhost ~]# vim /etc/selinux/config

将 SELINUX 的值更改为 enforcing、permissive 或 disabled，保存文件然后重启系统

策略与规则

受限主体程序通过第一关之后来到第二关——策略（policy）和规则（rule）比对

可以使用 sestatus 来查看当前 SELinux 使用那些策略

sestatus
-v：检查位于 /etc/sestatus.conf 中的文件与进程的安全上下文
-b：显示当前策略的规则（以布尔值列出）

[root@localhost ~]# sestatus
SELinux status:                 enabled # selinux 是否启动
SELinuxfs mount:                /sys/fs/selinux # selinux 相关文件挂载点
SELinux root directory:         /etc/selinux # 根目录
Loaded policy name:             targeted # 当前策略
Current mode:                   permissive # 当前模式
Mode from config file:          enforcing # 当前在配置文件内的模式
Policy MLS status:              enabled # 是否包含 MLS 模式
Policy deny_unknown status:     allowed # 是否预设抵挡未知的主体进程
Max kernel policy version:      31

如果想要查看当前策略下的规则，可以使用setatus -b 或者 getsebool 命令

[root@localhost ~]# sestatus -a
[root@localhost ~]# getsebool

[root@localhost ~]# getsebool -a
abrt_anon_write --> off
abrt_handle_event --> off
abrt_upload_watch_anon_write --> on
antivirus_can_scan_system --> off
antivirus_use_jit --> off
auditadm_exec_content --> on
authlogin_nsswitch_use_ldap --> off
authlogin_radius --> off
authlogin_yubikey --> off
awstats_purge_apache_log_files --> off
boinc_execmem --> on
cdrecord_read_content --> off
cluster_can_network_connect --> off
cluster_manage_all_files --> off
cluster_use_execmem --> off
cobbler_anon_write --> off
...

我们可以看到上面的输出中有特别多的 SELinux 规则，但是每个规则中具体是怎么限制的我们却还不知道

我们可以通过 seinfo 等工具进行查看

# 需要先下载
[root@localhost ~]# yum install -y setools-console

# 可以看到策略是 targeted，这个策略的安全上下文类型有 4793 个，而规则（Booleans）则有 316 条
[root@localhost ~]# seinfo 

Statistics for policy file: /sys/fs/selinux/policy
Policy Version & Type: v.31 (binary, mls)

   Classes:           130    Permissions:       272
   Sensitivities:       1    Categories:       1024
   Types:            4793    Attributes:        253
   Users:               8    Roles:              14
   Booleans:          316    Cond. Expr.:       362
   Allow:          107834    Neverallow:          0
   Auditallow:        158    Dontaudit:       10022
   Type_trans:      18153    Type_change:        74
   Type_member:        35    Role allow:         37
   Role_trans:        414    Range_trans:      5899
   Constraints:       143    Validatetrans:       0
   Initial SIDs:       27    Fs_use:             32
   Genfscon:          103    Portcon:           614
   Netifcon:            0    Nodecon:             0
   Permissives:         0    Polcap:              5

# 查看用户
[root@localhost ~]# seinfo -u

Users: 8
   sysadm_u
   system_u
   xguest_u
   root
   guest_u
   staff_u
   user_u
   unconfined_u

# 查看角色
[root@localhost ~]# seinfo -r

Roles: 14
   auditadm_r
   dbadm_r
   guest_r
   staff_r
   user_r
   logadm_r
   object_r
   secadm_r
   sysadm_r
   system_r
   webadm_r
   xguest_r
   nx_server_r
   unconfined_r

前面我们知道 crond 进程的类型是 crond_t，那我想知道 crond_t 这个 domain 能够读取那些 type 的文件资源

# 查询 crond_d 主体
[root@localhost ~]# sesearch -A -s crond_t
...
   allow crond_t user_cron_spool_t : file { ioctl read write create getattr setattr lock append unlink link rename open } ;
   allow crond_t user_cron_spool_t : dir { ioctl read write getattr lock add_name remove_name search open } ; 
   allow crond_t unconfined_cronjob_t : process transition ; 
   allow crond_t openshift_domain : process transition ; 
   allow crond_t security_t : lnk_file { read getattr } ; 
...

allow 后面接主体进程以及文件的 SELinux 类型，比如说 crond_t 可以读取 user_cron_spool_t 类型的文件和目录

那如果想要关闭或打开某个 SELinux 规则，该怎么办

# 查询到下面的规则是 off 状态，我们想打开它
[root@localhost ~]# getsebool httpd_enable_homedirs
httpd_enable_homedirs --> off

# 启动
# 一定要加上 -P ，这样才会写入配置文件
[root@localhost ~]# setsebool -P httpd_enable_homedirs 1

安全上下文

第一关考虑 SELinux 三种运行模式，第二关考虑了 SELinux 的策略规则

现在我们来到了第三关——安全上下文比对

关于安全上下的知识我在《SELinux 入门 pt.1》中已经介绍过了，今天我们着重讲下安全上下文的修改

  • chcon 手动修改

chcon 命令的基本语法如下：

chcon [options] context file...

其中，context表示要设置的安全上下文，file...表示要修改的文件或目录路径。下面是一些常用的选项和示例：

  1. -R, --recursive： 递归修改指定目录下所有文件的安全上下文
  2. -t, --type： 指定要设置的新类型标签
  3. -u, --user： 指定要设置的新用户
  4. -r, --role： 指定要设置的新角色

举几个例子

# 修改文件的安全上下文类型：
chcon -t httpd_sys_content_t /var/www/html/index.html

# 递归修改目录及其子目录中的文件安全上下文类型：
chcon -R -t httpd_sys_content_t /var/www/html/

# 修改文件的安全上下文用户和角色：
chcon -u system_u -r object_r /path/to/file
  • restorecon 恢复为默认值

使用 chcon 命令修改安全上下文可能会导致某些文件和目录的访问权限问题

如果对 SELinux 的运作机制和相应的安全策略不熟悉的，可以使用 restorecon 命令恢复默认的 SELinux 上下文

基本语法如下：

restorecon [-R] [-v] [file...]
-R ：表示递归地操作目录及其子目录
-v ：表示显示详细信息
file... ：是要进行恢复的文件或目录路径

举个例子

# 恢复单个文件的安全上下文：
restorecon /var/www/html/index.html

# 递归地恢复目录及其子目录的安全上下文：
restorecon -R /var/www/html/

# 显示详细信息：
restorecon -v /var/www/html/index.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/90207.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

WordPress用于您的企业网站的优点和缺点

WordPress用于您的企业网站的优点和缺点

如今，WordPress 被广泛认为是一个可靠、可扩展且安全的平台，能够为商业网站提供支持。然而，许多人质疑 WordPress 是否是适合企业的平台。 这就是我们创建本指南的原因。通过探索 WordPress 的优点和缺点，您可以确定世界上最受欢…
阅读更多...
C#_GDI+ 绘图编程入门

C#_GDI+ 绘图编程入门

官网提供相关API GDI 基本图形功能_drawing 高级二维和矢量图形功能_drawing2D GDI 图像处理功能_Imaging GDI 排版功能_text Windows 窗体应用程序提供打印功能_Printing 像素 构成图像的最小单位就是像素；屏幕上显示不管是位图或者矢量图，当描述…
阅读更多...
Oracle跨库访问DBLINK

Oracle跨库访问DBLINK

1. DBLINK的介绍 Oracle在进行跨库访问时，可以创建DBLINK实现，比如要将UAT的表数据灌入开发环境，则可以使用UAT库为数据源，通过DBLINK实现将查出的数据灌入开发库。 简而言之就是在当前数据库中访问另一个数据库中的表中的数据 2…
阅读更多...
论文阅读：DIN-SQL: Decomposed In-Context Learning of Text-to-SQL withSelf-Correction

论文阅读：DIN-SQL: Decomposed In-Context Learning of Text-to-SQL withSelf-Correction

NL2SQL是将自然语言转化为SQL的任务，该任务隶属于NLP的子任务，NL2SQL在AIGC时代之前，以seq2seq、BERT等系列的模型在NL2SQL的主流数据集上取得了不错的效果，2022年底，ChatGPT爆火，凭借LLM强大的逻辑推理、上…
阅读更多...
uniapp使用sqlite 数据库

uniapp使用sqlite 数据库

uniapp使用sqlite 数据库 傻瓜式使用方式，按步骤，即可使用。 1.开启sqlite 在项目中manifest.json该文件中配置 2.封装数据库的调用方法 const sqlName "zmyalh" //定义的数据库名称 const sqlPath "_doc/zmyalh.db" //定义数…
阅读更多...
[SQLITE_ERROR] SQL error or missing database (near “=“: syntax error)【已解决】

[SQLITE_ERROR] SQL error or missing database (near “=“: syntax error)【已解决】

这个报的错误是语法错误，但是我并没有看出来这行代码有什么错。 通过排除掉下边两个问题解决的 从增加记录方法复制的下来的代码，只删除了关闭自动提交事务，但是connection.commit忘记删除executeQuery和executeUpdate方法的用法忘记了&…
阅读更多...
分布式事务篇-2.1 阿里云轻量服务器--Docker--部署Seata

分布式事务篇-2.1 阿里云轻量服务器--Docker--部署Seata

文章目录 前言一、Seata 介绍二、Docker 部署：2.1.拉取镜像：2.2.运行镜像：2.3.拷贝配置文件：2.4.部署：2.5.参数解释：2.5.1 端口：2.5.2 SEATA_IP：2.5.3 SEATA_PORT：2.5.4 …
阅读更多...
JavaEE初阶：Java线程的状态

JavaEE初阶：Java线程的状态

目录 获取当前线程引用 休眠当前线程 线程的状态 1.NEW 2.TERMINATED 3.RUNNABLE 4.WAITING 5.TIMED_WAITING 6.BLOCKED 多线程的意义 单线程 多线程 获取当前线程引用 public static Thread currentThread(); 这个方法返回当前线程的引用。但是我…
阅读更多...
RecyclerView面试问答

RecyclerView面试问答

RecycleView 和 ListView对比： 使用方法上 ListView：继承重写 BaseAdapter，自定义 ViewHolder 与 converView优化。 RecyclerView: 继承重写 RecyclerView.Adapter 与 RecyclerView.ViewHolder。设置 LayoutManager 来展示不同的布局样式 ViewHolder的编写规范化，ListVie…
阅读更多...
算法-滑动窗口-串联所有单词的子串

算法-滑动窗口-串联所有单词的子串

算法-滑动窗口-串联所有单词的子串 1 题目概述 1.1 题目出处 https://leetcode.cn/problems/substring-with-concatenation-of-all-words/ 1.2 题目描述 2 滑动窗口Hash表 2.1 解题思路 构建一个大小为串联子串的总长的滑动窗口为每个words中的子串创建一个hash表, <子…
阅读更多...
ES 7.6 - JAVA应用基础操作篇

ES 7.6 - JAVA应用基础操作篇

ES 7.6 - JAVA应用基础操作篇 环境准备依赖配置 实体类准备使用说明索引/映射操作创建索引和映射索引和映射相关查询删除索引 文档操作插入数据更新数据删除数据批量操作 文档查询根据ID查询根据字段精准查询根据字段分词查询控制返回字段范围查询组合查询排序分页高亮搜索聚合…
阅读更多...
springboot定时任务:同时使用定时任务和websocket报错

springboot定时任务:同时使用定时任务和websocket报错

背景 项目使用了websocket,实现了消息的实时推送。后来项目需要一个定时任务&#xff0c;使用org.springframework.scheduling.annotation的EnableScheduling注解来实现&#xff0c;启动项目之后报错 Bean com.alibaba.cloud.sentinel.custom.SentinelAutoConfiguration of t…
阅读更多...
HTML ＜template＞ 标签

HTML ＜template＞ 标签

实例 使用 <template> 保留页面加载时隐藏的内容。使用 JavaScript 来显示： <button οnclick="showContent()">显示被隐藏的内容</button><template><h2>Flower</h2><img src="img_white_flower.jpg" width=&q…
阅读更多...
36、springboot --- 对 tomcat服务器 和 undertow服务器 配置访客日志

36、springboot --- 对 tomcat服务器 和 undertow服务器 配置访客日志

springboot 配置访客日志 ★ 配置访客日志&#xff1a; 访客日志&#xff1a; Web服务器可以将所有访问用户的记录都以日志的形式记录下来&#xff0c;主要就是记录来自哪个IP的用户、在哪个时间点、访问了哪个资源。 Web服务器可将所有访问记录以日志形式记录下来&#xff…
阅读更多...
二级评论列表功能

二级评论列表功能

一&#xff1a;需求场景 我的个人网站留言列表在开发时&#xff0c;因为本着先有功能的原则。留言列表只有一级&#xff0c;平铺的。 当涉及多人回复&#xff0c;或者两个人多次对话后&#xff0c; 留言逻辑看着非常混乱。如下图 于是&#xff0c;我就打算将平铺的列表&#…
阅读更多...
用C/C++修改I2C默认的SDA和SCL针脚

用C/C++修改I2C默认的SDA和SCL针脚

首先要说明一点&#xff1a;Pico 有两个 I2C&#xff0c;也就是两套 SDA 和 SCL。这点你可以在针脚图中名字看出&#xff0c;比如下图的 Pin 4 和 Pin 5是 I2C1 的&#xff0c;而默认的 Pin 6 和 Pin 7 是 I2C0 的。 默认情况下是只开启了第一个 I2C&#xff0c;也就是只有 I2C…
阅读更多...
【大虾送书第四期】《Python之光：Python编程入门与实战》

【大虾送书第四期】《Python之光：Python编程入门与实战》

目录 ✨写在前面 ✨本书亮点 ✨强力推荐 ✨文末福利 &#x1f990;博客主页&#xff1a;大虾好吃吗的博客 &#x1f990;专栏地址&#xff1a;免费送书活动专栏地址 写在前面 作为一种极其流行的编程语言&#xff0c;Python已经成为了当今最为重要的生产力工具之一。无论小学生…
阅读更多...
Rancher2.5.9版本证书更新

Rancher2.5.9版本证书更新

一、环境 主机名IP地址操作系统rancher版本K8s-Master192.168.10.236Centos 72.5.9 二、更新证书 1、查看当前证书到期时间 2、进行证书轮换 [rootK8s-Master ~]# docker ps |grep rancher/rancher d581da2b7c4e rancher/rancher:v2.5.9 &q…
阅读更多...
java八股文面试[JVM]——元空间

java八股文面试[JVM]——元空间

JAVA8为什么要增加元空间 为什么要移除永久代&#xff1f; 知识来源&#xff1a; 【2023年面试】JVM8为什么要增加元空间_哔哩哔哩_bilibili
阅读更多...
使用ctcloss训练矩阵生成目标字符串

使用ctcloss训练矩阵生成目标字符串

首先我们需要明确 c t c l o s s ctcloss ctcloss是用来做什么的。比如说我们要生成的目标字符串长度为 l l l&#xff0c;而这个字符串包含 s s s个字符&#xff0c;字符串允许的最大长度为 L L L&#xff0c;这里我们认为一个位置是一个时间步&#xff0c;就是一拍&#xff0…
阅读更多...
最新文章

Copyright @ 2022~2023