SELinux对Apache的安全增强型保护.doc

SELinux对Apache的安全增强型保护* 司晓琳，赵辉，何超 ( 四川大学 软件学院 ,成都 610225 ) 摘 要: 随着Internet发展，电子商务兴起，web安全受到广泛关注，因此对web服务器的安全保护成为研究热点，Apache是当前最主流的web服务器之一。SELinux是对Linux的安全增强，因其灵活性以及强安全性在各Linux操作系统中得到广泛应用。因此本文对SELinux下Apache服务器的安全保护机制进行了分析，设计了一组CGI对Apache服务器漏洞的攻击，试验表明SELinux能够抵御这些攻击，证明了SELinux对Apache的安全增强型保护。 关键词: Apache; SELinux；安全增强；攻击； 中图法分类号: TP393.08　　　 文献标识码: A Security of Apache with the enhancement protection of SELinux SI Xiao-lin, ZHAO Hui, HE Chao (Dept. of Software Engineering, SiChuan University,ChengDu 610225, China) Abstract: With the development of the Internet, E-commerce becomes normal in everyday lives, the security of web application has been widely concerned. So there are more research on web servers security, Apache is one of the most popular web server. SELinux is some kind of security enhancement on Linux, It is widely used in all kinds of Linux operating system because of its strong security and its flexibility. This paper first analyzed the security mechanism on Apache of SELinux, designed a set of CGI scripts to attack Apache’s vulnerabilities, showed that SELinux could resist these attacks, proved that SELinux has a security enhancement protection on Apache. Key words: Apache;SELinux; security enhancement; attacks; 引言 信息时代到来，网上交易频繁，网络安全变得至关重要，web安全成为研究热点，Apache作为主流的web服务器之一，理所当然的成为恶意程序攻击的对象。 一切安全建立在操作系统安全的基础之上，操作系统没有保障，安全软件如建立在沙滩上的城堡，必然失效[1]，SELinux是对Linux操作系统的安全增强,以其灵活性和强安全性在各Linux操作系统中得到广泛应用，SELinux策略分析工具开发以及基于SELinux的应用软件[7]与嵌入式[9][10]设备开发成为目前热门的研究领域[6]。 在SELinux的保护机制之下的Apache显示出其高度的安全性以及灵活性，本文首先介绍了SELinux以及CGI的相关概念，从进程的角度分析了SELinux对Apache的保护策略，设计了一组CGI程序来对Apache漏洞进行攻击，验证了SELinux拒绝执行恶意脚本，并与其他方式的保护方式进行了比较，从而证明了SELinux对Apache灵活的安全增强型保护，最后展望了进一步的研究方向。 SELinux、Apache以及CGI SELinux Flask框架在SELinux中的实现 SELinux全称是Security-Enhanced Linux，采用了Flask安全体系结构。Flask安全框架是由美国国家安全局与犹他州大学以及安全计算公司合作[4]，以设计灵活的安全策略为目标而设计的访问控制策略框架。该体系结构清晰的分开了定义安全策略的部件和实施安全策略的部件[11]，即安全服务器和客体管理器两部分如图1所示。 安全服务器封装安全策略逻辑，提供安全策略，维持SID和安全上下文之间的映射，提供新创建客体SID和成员客体SID，