centos selinux学习记录

SELinux 全称 Security Enhanced Linux (安全强化 Linux)，是 MAC (Mandatory Access Control，强制访问控制系统)的一个实现，目的在于明确的指明某个进程可以访问哪些资源(文件、网络端口等)。

强制访问控制系统的用途在于增强系统抵御 0-Day 攻击(利用尚未公开的漏洞实现的攻击行为)的能力。所以它不是网络防火墙或 ACL 的替代品，在用途上也不重复。

举例来说，系统上的 Apache 被发现存在一个漏洞，使得某远程用户可以访问系统上的敏感文件(比如/etc/passwd 来获得系统已存在用户)，而修复该安全漏洞的 Apache 更新补丁尚未释出。此时 SELinux 可以起到弥补该漏洞的缓和方案。因为 /etc/passwd 不具有 Apache 的访问标签，所以 Apache 对于 /etc/passwd的访问会被 SELinux 阻止。

相比其他强制性访问控制系统，SELinux 有如下优势：

• 控制策略是可查询而非程序不可见的。
• 可以热更改策略而无需重启或者停止服务。
• 可以从进程初始化、继承和程序执行三个方面通过策略进行控制。
• 控制范围覆盖文件系统、目录、文件、文件启动描述符、端口、消息接口和网络接口。

selinux有三种状态

enforcing    在强制模式下的SELinux将强制执行在Linux系统上的政策，并确保用户和进程的任何未经授权的访问尝试将被拒绝。 访问拒绝也写入相关的日志文件

permissive 许可模式类似于半启用状态。 SELinux不会在允许模式下应用其策略，因此不会拒绝任何访问。 但是，任何策略违规仍然记录在审核日志中。 这是一个伟大的方式来测试SELinux之前强制它。

disabled    禁用模式是不言自明的 – 系统将不会运行增强的安全性。

获取selinux的状态

sestatus

设置selinux状态

setenforce 0 将selinux设置为permissive

setenforce 1将selinux设置为enforcing

需要说明的是如果是disabled是无法使用setenforce的，因为是禁用状态。

可以修改selinux为disabled，但是不安全

vim /etc/selinux/config

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of these two values:
#     targeted - Targeted processes are protected,
#     minimum - Modification of targeted policy. Only selected processes are protected.
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

设置完需要重启才能生效

selinux策略

selinux是控制程序是否能够读取档案资源

查看安全性本文(secruity context)

ls -Z查看当前目录下的安全性本文

[root@www ~]# ls -Z
-rw-------. root  root  system_u:object_r:admin_home_t:s0     anaconda-ks.cfg
drwxr-xr-x. root  root  unconfined_u:object_r:admin_home_t:s0 bin
-rw-r--r--. root  root  system_u:object_r:admin_home_t:s0     install.log
-rw-r--r--. root  root  system_u:object_r:admin_home_t:s0     install.log.syslog
# 上述下划线的部分，就是安全性本文的內容！

分别是identify身份识别，role角色，type类型

常见的身份识别

root    表示root账号身份

system_u 表示系统程序方面的识别，通常就是程序

user_u 代表某个一般使用者账号相关身份

角色

object_r  代表档案或目录等档案资源

system_r  代表程序

类型

type

domain

修改安全性本文

chcon

恢复安全性本文

restorecon

主要有seinfo命令、sesearch命令、getsebool命令、setsebool命令、semanage命令。

seinfo和sesearch都是用来查询的

使用seinfo命令可以查询SELinux的策略提供多少相关规则，如果查到的相关类型或者布尔值，想要知道详细规则时，使用sesearch命令查询。

getsebool

getsebool命令是用来查询SElinux策略内各项规则的布尔值

setsebool
setsebool命令是用来修改SElinux策略内各项规则的布尔值
semanage

semanage命令是用来查询与修改SELinux默认目录的安全上下文

[root@www ~]# semanage {login|user|port|interface|fcontext|translation} -l
[root@www ~]# semanage fcontext -{a|d|m} [-frst] file_spec
選項與參數：
fcontext ：主要用在安全性本文方面的用途， -l 為查詢的意思；
-a ：增加的意思，你可以增加一些目錄的預設安全性本文類型設定；
-m ：修改的意思；
-d ：刪除的意思。

sestatus用来查看当前的selinux状态

排除 SELinux 疑难

你终有一天会被 SELinux 阻止你存取所需的东西，而且要解决这个问题。SELinux 拒绝某个档案、进程或资源被存取的基要原因有数个：

• 一个被错误标签的档案。
• 一个进程在错误的 SELinux 安全性脉络下运行。
• 政策出错。某个进程要存取一个在编写政策时意料不到的档案，并产生错误信息。
• 一个入侵的企图。

头三个情况我们可以处理，而发出警报及通告正正是第四个情况的预期表现。

日志档是排除任何疑难的关键，而 SELinux 亦不例外。SELinux 预设会透过 Linux 审计系统 auditd 将日志写在 /var/log/audit/audit.log 内，而该务服预设为启用的。假若 auditd 长驻程式并未运行，信息将会被写进 /var/log/messages。SELinux 的日志都以 AVC 这个关键字作标签，让 grep 等程式可轻易地把它们从其它信息中过滤出来。

由 CentOS 5 起，你可以用 SELinux 排除疑难工具协助你分析日志档，将它们转换为供人阅读的格式。这个工具包含一个以可读格式显示信息及解决方案的图像介面、一个桌面通报图示、与及一个长驻进程，setroubleshootd，它负责查阅新的 SELinux AVC 警告并传送至通报图示。不运行 X 伺服器的用户可设置以电邮通报。SELinux 排除疑难工具是由 setroubleshoot 套件所提供的。这个工具可以从 X 视窗图像管理员的「系统」选单或从指令行启动：

sealert -b 

不运行 X 伺服器的人可以透过指令行产生供人阅读的报告：

sealert -a /var/log/audit/audit.log > /path/to/mylogfile.txt 

 总结一下

selinux是用来对进程权限进行限制的。限制某些进程只能读取某些文件。

一般我们如果通过setenforce 0吧selinux设置为警告模式之后，程序正常运行了。那就说明是selinux在捣乱。通常的做法是直接disable禁用掉selinux，但是这样不安全。

总结下一些简单的解决方案

一般来说都是因为权限的问题，很可能是进程没有权限读取文件。

以apache为例

我们检视 Apache 的主页，/var/www/html/index.html 的 SELinux 安全性脉络来看看它们如何运作：

$ ls -Z /var/www/html/index.html -rw-r--r-- username username system_u:object_r:httpd_sys_content_t /var/www/html/index.html

/var/www/html/index.html 类别是httpd_sys_content_t

现在来看看apache进程的selinux安全性脉络

$ ps axZ | grep httpd

system_u:system_r:httpd_t 3234 ? Ss 0:00 /usr/sbin/httpd

从类别栏我们看出 Apache 在 httpd_t 这个类别区域内运行

最后，让我们看看位于我们的主目录内的一个档案的安全性脉络：

$ ls -Z /home/username/myfile.txt

-rw-r--r-- username username user_u:object_r:user_home_t /home/username/myfile.txt

它的类别是 user_home_t，这是位于每个户主目录内的档案的预设类别。

唯有相似的类别才可互相存取，因此以 httpd_t 运行的 Apache 可以读取拥有 httpd_sys_content_t 类别的 /var/www/html/index.html。由于 Apache 在 httpd_t 这个区域内运行但不属 username 这个用户，纵使 /home/username/myfile.txt 可供任何人读取，Apache 却无法存取该档案，因为它的 SELinux 安全性脉络并不是 httpd_t 类别。倘若 Apache 被人占用，又假设它仍未取得更改 SELinux 标签至另一个脉络的 root 权限，它将会无法启动 httpd_t 区域外的进程（藉此防止权限升级），或存取与 httpd_t 区域不相关的档案。

所以如果要让httpd能读取myfile.txt文件

可以使用semanage命令

semanage -a -t httpd_sys_content_t /home/username/myfile.txt

将myfile.txt的安全性文本改为httpd_sys_content_t，这样就可以了。

restorecon 这个指令可以用来还原为档案预设的安全性脉络

restorecon -v /var/www/html/index.html

一般修改安全性文本就可以解决问题了，但是如果不行的话可以查看selinux的日志，里面会提示你应该怎么做。如何查看日志上面已经提到了

cat /var/log/messages

参考自https://wiki.centos.org/zh/HowTos/SELinux