selinux学习理解

selinux学习理解一、什么是selinux。

selinux全称是security enhanced linux，安全强化linux,是MAC （mandatory access control，强制访问控制系统)的一个实现，目的在于明确的知名某个程序可以访问哪些资源（程序，端口）。

它的用户在于防范0—DAY攻击（利用尚未公开的漏洞实现攻击），所以它不是防火墙和ACL的替代品，功能也不重复。

举例来说，系统上Apache被发现存在一个漏洞，使得远程用户可以访问系统上的敏感文件（比如/etc/passwd),且修复该漏洞的补丁尚未发布，此时selinux可以起到弥补漏洞的方法。

因为/etc/passwd 不具有apache的访问标签，所以Apache对于/etc/passwd的访问会被selinux阻止。

相比其他强制访问系统，selinux有如下访问优势：1.控制策略是可以查询，而非程序比可见的。

2.可以热更改策略，无需或停止服务。

3.可以从程序初始化、继承、执行三个方面，使用策略进行控制。

4.控制范围广，包括：文件系统，目录，文件，文件启动描述符，端口，消息接口，网络接口。

二、了解和配置selinux。

1、获取当前selinux运行状态getenforce：可能返回三种结果Enforcing：记录报警且阻止可疑行为。

Permissive：记录告警，不阻止可以行为。

Disable：关闭selinux。

默认是Enforcing2、改变selinux状态。

setenforce 1|0 1代表Enforcing，0代表Permissive。

此时不需要重启系统就可以实现。

要永久改变selinxu的状态，在／etc／sysconfig／selinux实现。

当从disable切换到enforcing或permissive时，要重启系统并为整个文件系统重新创建安全标签。

３、selinux运行策略。

配置文件／etc／sysconfig／seilnux还包含了selinux运行策略的信息，通过改变SELINUXTYPE值实现，该值有两种可能：targeted代表仅针对预制的几种网络服务和访问请求都要使用selinux。

strict代表所有网络服务和访问请求要经过selinux。

默认为targeted,包含了几乎所有的网络服务的selinux策略配置，已经默认安装并且无需更改可以直接使用。

４、coreutils工具的selinux模式常见的属于coreutils的工具如ps\ls等，可以通增加－Ｚ的方式查看selinux的信息。

例：ls -Z /etc/ 查看目录ps -auxZ 查看进程三、Apache selinux配置实例１、让Ａpcche可以访问位于非默认目录下的网站。

首先，用semanage fcontext -l | grep ‘/var/www/’得到默认的selinux上下文，/var/www(/.*)? all files system_u:object_r:httpd_sys_content_t:s0 ，可以看到apache只能访问有第三段object_r:httpd_sys_content_t标签的文件，那么就可以给你想的访问的非默认目录增加这个标签。

分为两步：为目录增加标签，semanage fcontext -a -t httpd_sys_content_t ‘/www’,然后用新标签为已有的文件进行标注，restorecon -Rv /www，就可以使用这个目录下的网站了。

restorecon起到的是恢复文件默认标签的作用。

如从其它目录复制文件到／var／www／html时，无法访问，因为标签不同，这时就要用restorecon将文件的标签恢复成Ａpache可以访问的标签。

例：2、让apache侦听非标准端口。

默认情况下Ａpache只侦听８０和４４３两个端口，若要想让它侦听指定的８８８端口的话，会在apache启动时报错。

这时候可以在/var/log/messages中查看，３、允许Ａpache访问创建的私人网站。

若希望在～／pulib_html下创建私人网站，需要在Ａpache策略中允许该操作，使用setsebool httpd_enable_homedirs 1来改变selinux的bool值，getsebool－a得到现在系统中的bool值，默认情况下，重启后上述操作无效，若想永久生效，加－Ｐ参数，setsebool －P httpd_enable_homedirs 1四、其它man httpd_selinuxs相看相关服务的手册setroubleshoot开头的包，audit开头的包安装上面的包后，报警也可能在/var/log/auditd/audit.log中看日志，找到需要执行的代码，可以解决selinux不能访问的问题linux中ftp使用selinux的实例：一、Selinux 下匿名FTP的使用1，确认已经启用了Selinux：[root@sgzhang ~]# getenforceEnforcing2，启动FTP deamon：[root@sgzhang ~]# ps -efZ |grep vsftpdroot:system_r:ftpd_t:s0 root 12636 1 0 20:13 ? 00:00:00 /usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf3，在匿名访问目录下创建2个文件进行测试，一个是在该目录下手动创建，这样该文件会自动继承/var/ftp/pub下的目录上下文的值，一个用mv命令从root 目录下移动过来，这样的文件会保留root目录下的安全上下文，如下[root@sgzhang pub]# pwd/var/ftp/pub[root@sgzhang pub]# echo "just a test" > test.txt[root@sgzhang pub]# chmod 755 test.txt[root@sgzhang pub]# ls -Z-rwxr-xr-x root root root:object_r:public_content_t:s0 test.txt [root@sgzhang ~]# pwd/root[root@sgzhang ~]# echo "aaa123" > root.txt[root@sgzhang ~]# chmod 755 /root/root.txt[root@sgzhang ~]# mv root.txt /var/ftp/pub/[root@sgzhang ~]# ls -Z /var/ftp/pub/-rw-r-xr-x root root root:object_r:user_home_t:s0 root.txt-rwxr-xr-x root root root:object_r:public_content_t:s0 test.txt4、使用匿名登录测试：[root@sgzhang pub]# lftp localhostlftp localhost:~> cd pubcd ok, cwd=/publftp localhost:/pub> ls-rwxr-xr-x 1 0 0 12 Aug 23 12:19 test.txt-rwxr-xr-x 1 0 0 910974 Aug 04 02:19 yumlftp localhost:/pub>发现这里看不到root.txt文件5、已知系统启动了Selinux，先查看系统日志，有两个工具可以收集到Selinux 产生的日志，一个是setroubleshoot，对应的软件包为setroubleshoot-server-2.0.5-5.el5一个是audit，对应的软件包名称是audit-1.7.13-2.el5，先使用audit工具，使用方法如下：系统中提供了audit相关的命令，常用的有audit2why和audit2allow，audit产生的日志放在/var/log/audit，由于此文件记录的信息很多不宜直接查看，可以借助audit2why命令，首先启动audit deamon[root@sgzhang audit]# /etc/init.d/auditd statusauditd is stopped[root@sgzhang audit]# /etc/init.d/auditd startStarting auditd: [ OK ][root@sgzhang audit]# /etc/init.d/auditd statusauditd (pid 4013) is running...6、在客户端登录FTP服务器时会出发audit deamon产生日志：audit2why </var/log/audit/audit.logtype=AVC msg=audit(1392170806.708:37813): avc: denied { mac_admin } for pid=21841 comm="chcon" capability=33 scontext=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 tcontext=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 tclass=capability2Was caused by:Missing type enforcement (TE) allow rule.You can use audit2allow to generate a loadable module to allow this access.粗的字体提示使用audit2allow命令audit2allow </var/log/audit/audit.log#============= ftpd_t ==============# This avc can be allowed using one of the these booleans:# allow_ftpd_full_access, ftp_home_dirallow ftpd_t admin_home_t:file getattr;#============= unconfined_t ==============allow unconfined_t self:capability2 mac_admin;提示更改bool值。