SELlinux详解.docVIP

SELlinux的工作原理：主体（程序）------SELlinux规则匹配-------安全环境的匹配（文件本身的权限|程序运行的本身权限）-------目标资源。 [root@wmm ~]# ls -Z【ls -Z查看安全环境】 -rw-------. root root system_u:object_r:admin_home_t:s0 anaconda-ks.cfg -rw-r--r--. root root system_u:object_r:admin_home_t:s0 install.log -rw-r--r--. root root system_u:object_r:admin_home_t:s0 install.log.syslog 【一般文件】owner group 安全环境【u代表是用户，表示的系统账号，目标是目录或者文件（r),admin_home_t(type)是最重要的资源】 [root@wmm ~]# ls -Zd /usr/sbin/httpd /var/www/html -rwxr-xr-x. root root system_u:object_r:httpd_exec_t:s0 /usr/sbin/httpd drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 /var/www/html 【我们知道，httpd主程序的目标资源是/var/www/html，能不能被访问就看type字段是否一致】 工作过程如下： 首先httpd的type=httpd_exec位可执行程序，当改程序执行时候，SELlinux会形成一个域，并且对该域写了以默认的rule，然后按照rule执行，如果 符合rule则进行下一步，看看文件本身的权限可行与否（rwx)】 我们知道httpd程序只能访问/var/www/html，因为他满足两个条件，domain和type相同： domain:httpd type:符合默认规则 [root@wmm ~]# getsebool -a|grep httpd allow_httpd_anon_write -- off allow_httpd_mod_auth_ntlm_winbind -- off allow_httpd_mod_auth_pam -- off allow_httpd_sys_script_anon_write -- off httpd_builtin_scripting -- on httpd_can_check_spam -- off httpd_can_network_connect -- off httpd_can_network_connect_cobbler -- off httpd_can_network_connect_db -- off httpd_can_network_memcache -- off httpd_can_network_relay -- off httpd_can_sendmail -- off httpd_dbus_avahi -- on httpd_enable_cgi -- on httpd_enable_ftp_server -- off httpd_enable_homedirs -- off httpd_execmem -- off httpd_manage_ipa -- off httpd_read_user_content -- off httpd_setrlimit -- off httpd_ssi_exec -- off httpd_tmp_exec -- off httpd_tty_comm -- on httpd_unified -- on httpd_use_cifs -- off httpd_use_gpg -- off httpd_use_nfs -- off httpd_use_openstack -- off SELinux的三种模式： enforcing强制模式，permissive中间模式，disabled关闭模式。 [root@wmm ~]# getenforce【查看模式】 Enforcing [root@wmm ~]# ls -Zd /etc/hosts /root/hosts /root -rw-r--r--. root root system_u:object_r:net_conf_t:s0 /etc/hosts dr-xr-x---. root root system_u:object_r:admin_home_t:s0 /root -rw-r--r--. root root un