RHCE-第七章:SELinux

server/2024/12/25 1:03:08/

一、selinux的说明

SELinux是Security-Enhanced Linux的缩写,意思是安全强化的linux。SELinux 主要由美国国家安全局(NSA)开发,当初开发的目的是为了避免资源的误用。系统资源都是通过程序进行访问的,如果将 /var/www/html/ 权限设置为777,代表所有程序均可对该目录访问,如果已经启动www服务器软件,那么该软件触发的进程将可以写入该目录,而该进程是对整个internet提供服务的。NSA为了控制这方面的权限与进程的问题,就使用linux来作为研究目标,最后将研究的成果整合到linux内核里面去,也就是SELinux。

SELinux是对程序、文件等权限设置依据的一个内核模块。由于启动网络服务的也是程序,因此刚好也是能够控制网络服务能否访问系统资源的一道关卡。

传统的文件权限与账号的关系:自主访问控制,DAC(Discretionary Access Control)。当某个进程想要对文件进行访问时,系统就会根据该进程的所有者/用户组,并比较文件的权限,若通过权限检查,就可以访问该文件了。各种权限设置对root用户是无效的。

以策略规则制定特定程序读取特定文件:强制访问控制,MAC(Mandatory Access Control)。MAC可以针对特定的进程与特定的文件资源来进行权限的控制。也就是说,即使你是root,在使用不同的进程时,你所能取得的权限并不一定是root,而得要看当时该进程的设置而定。如此一来,就可以针对进程而不是用户对文件来进行访问控制。此外,这个进程也不能任意使用系统文件资源,因为每个文件资源也有针对进程设置可取用的权限。由于,整个系统进程那么多,文件那么多,所以SELinux也提供一些默认的策略(policy),并在该策略内提供多个规则,让你可以选择是否启用该控制规则。

二、selinux的工作原理

SELinux是通过MAC的方式来控制管理进程,它控制的主体是进程,而目标则是该进程能否读取的文件资源。

  • 主体(subject):就是进程
  • 目标(object):被主体访问的资源,可以是文件、目录、端口等。
  • 策略(policy):由于进程与文件数量庞大,因此SELinux会依据某些服务来制定基本的访问安全策略。

这些策略内还会有详细的规则(rule)来指定不同的服务开放某些资源的访问与否。目前主要的策略有:

  • targeted:针对网络服务限制较多,针对本机限制较少,是默认的策略;
  • strict:完整的SELinux限制,限制方面较为严格。

安全上下文(security context):主体能不能访问目标除了策略指定外,主体与目标的安全上下文必须一致才能够顺利访问。

#查看文件的安全上下文
[root@localhost ~]# ls -Z
-rw-------. root root system_u:object_r:admin_home_t:s0 anaconda-ks.cfg
drwxr-xr-x. root root unconfined_u:object_r:admin_home_t:s0 home

安全上下文用冒号分为四个字段:Identify:role:type:

  • 身份标识(Identify):相当于账号方面的身份标识,主要有以下三种常见的类型:root(表示root的账号身份)、system_u(表示程序方面的标识,通常就是进程)、unconfined_u(代表的是一般用户账号相关的身份)。
  • 角色(role):通过角色字段,可知道这个数据是属于程序、文件资源还是代表用户。一般角色有:object_r(代表的是文件或目录等文件资源)、system_r(代表的是进程)。
  • 类型(type):在默认的targeted策略中,Identify与role字段基本上是不重要的,重要的在于这个类型字段。而类型字段在文件与进程的定义不太相同,分别是:type(在文件资源上面称为类型)、domain(在主体程序中则称为域),domain需要与type搭配,则该程序才能够顺利读取文件资源。
  • 最后一个字段是和MLS和MCS相关的东西,代表灵敏度,一般用s0、s1、s2来命名,数字代表灵敏度的分级。数值越大、灵敏度越高。
[root@localhost ~]# ll -Zd /usr/sbin/httpd /var/www/html/
-rwxr-xr-x. root root system_u:object_r:httpd_exec_t:s0 /usr/sbin/httpd
drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 /var/www/html/
以上两个文件的角色字段都是object_r,代表都是文件,/usr/sbin/httpd属于httpd_exec_t类型,/var/www/html/则属于httpd_sys_content_t类型。

访问过程:

(1)首先,触发具有httpd_exec_t这个类型的/usr/sbin/httpd这个可执行文件;

(2)该文件的类型会让这个文件所造成的主体进程具有httpd这个域,我们的策略已经针对这个域制定了许多规则,其中包括这个域可以读取的目标资源类型;

(3)由于httpd domain被设置为可读取httpd_sys_content_t这个类型的目标文件,因此httpd进程就能够读取在/var/www/html/目录下面的文件了;

(4)最终能否读到/var/www/html/目录下面的数据,还要看rwx是否符合linux权限的规范。

三、selinux的启动、关闭与查看

(1)SELinux三种模式

  • enforcing:强制模式,代表SELinux正在运行中,开始限制domain/type。
  • permissive:宽容模式,代表SELinux正在运行中,不过仅会有警告信息并不会实际限制domain/type的访问。
  • disabled:关闭,SELinux并没有实际运行。
#查看目前的模式
[root@localhost ~]# getenforce
Enforcing#查看目前的selinux使用的策略
[root@localhost ~]# sestatus
SELinux status: enabled     # 是否启用selinux
SELinuxfs mount: /sys/fs/selinux     # selinux的相关文件数据挂载点
SELinux root directory: /etc/selinux
Loaded policy name: targeted     # 目前的策略
Current mode: enforcing
Mode from config file: enforcing
Policy MLS status: enabled
Policy deny_unknown status: allowed
Max kernel policy version: 31#查看selinux的策略:
[root@localhost ~]# vim /etc/selinux/config将selinux模式在enforcing和permissive之间切换的方法为:
setenforce 0     转换成permissive宽容模式
setenforce 1    转换成enforcing强制模式

(2)修改安全上下文

chcon [-R] [-t type] [-u user] [-r role] 文件
-R:连同该目录下的子目录也同时修改
-t:后面接安全上下文的类型字段
-u:后面接身份识别
-r:后面接角色chcon [-R] --reference=范例文件 文件 将文件的安全上下文按照范例文件修改
restorecon [-Rv] 文件或目录
-R:连同子目录一起修改
-v:将过程显示到屏幕上restorecon怎么会知道每个目录记载的默认selinux type类型呢?
因为系统将每个目录的默认selinuxtype类型记录在/etc/selinux/targeted/contexts/目录内。
但是该目录内有很多不同的数据,所以我们可以用semanage这个命令的功能来查询与修改。
semanage {login|user|port|interface|fcontext|translation} -l
semanage fcontext -{a|d|m} [-frst] file_spec
-l为查询
-a:增加一些目录的默认安全上下文的设置
-m:修改
-d:删除

四、selinuxlinux服务的影响

实验一:使用httpd服务演示安全上下文值的设定

# 服务端的IP地址为192.168.121.131,服务端的设置如下:
[root@localhost ~]# systemctl disable  firewalld --now
[root@localhost ~]# getenforce 
Enforcingroot@localhost ~]# vim /etc/httpd/conf.d/host.conf<directory /www>allowoverride nonerequire all granted</directory><virtualhost 192.168.121.131:80>documentroot /www/80servername 192.168.121.131</virtualhost>[root@localhost ~]# mkdir -pv  /www/80 
[root@localhost ~]# echo this is 80 > /www/80/index.html
[root@localhost ~]# systemctl restart httpd
# 通过客户端测试,只能访问到http服务的测试界面# 修改自定义目录的安全上下文的值:
[root@localhost ~]# chcon -t httpd_sys_content_t /www/ -R
# 也可以将自定义目录的安全上下文的值按照/var/www/html文件修改:
[root@localhost ~]# chcon -R --reference=/var/www/html /www
# 修改之后即可成功访问。

实验二:使用web服务端口的改变来演示端口的设定

[root@localhost ~]# vim /etc/httpd/conf.d/host.conf <directory /www>allowoverride nonerequire all granted</directory>listen 8888<virtualhost 192.168.121.131:8888>documentroot /www/8888servername 192.168.121.131</virtualhost>[root@localhost ~]# mkdir /www/8888
[root@localhost ~]# echo this is 8888 > /www/8888/index.html
[root@localhost ~]# systemctl restart httpd#服务重启失败,查看日志
[root@localhost ~]# tail -f /var/log/messages #添加8888端口为服务端口:
[root@localhost ~]# semanage port -a -t http_port_t -p tcp 8888
[root@localhost ~]# systemctl restart httpd 
#测试可以访问成功


http://www.ppmy.cn/server/152914.html

相关文章

【C/C++】推荐一个性能优良的错误码打印机制,已实测!

基于上1篇 switch与for的性能比较文章&#xff0c;若我们在开发一个较大型的系统架构&#xff0c;则错误码机制是必不可少的。 但是&#xff0c;基于灵活可扩展思想&#xff0c;我们的错误码是与日俱增的&#xff0c;所以&#xff0c;如何能不写很多switch-case语句&#xff0c…

【题解】—— LeetCode一周小结50

&#x1f31f;欢迎来到 我的博客 —— 探索技术的无限可能&#xff01; &#x1f31f;博客的简介&#xff08;文章目录&#xff09; 【题解】—— 每日一道题目栏 上接&#xff1a;【题解】—— LeetCode一周小结49 9.判断国际象棋棋盘中一个格子的颜色 题目链接&#xff1a;…

PostgreSQL 的历史

title: PostgreSQL 的历史 date: 2024/12/23 updated: 2024/12/23 author: cmdragon excerpt: PostgreSQL 是一款功能强大且广泛使用的开源关系型数据库管理系统。其历史可以追溯到1986年,当时由加州大学伯克利分校的一个研究团队开发。文章将深入探讨 PostgreSQL 的起源、…

内容与资讯API优质清单

作为开发者&#xff0c;拥有一套API合集是必不可少的。这个开发者必备的API合集汇集了各种实用的API资源&#xff0c;为你的开发工作提供了强大的支持&#xff01;无论你是在构建网站、开发应用还是进行数据分析&#xff0c;这个合集都能满足你的需求。你可以通过这些免费API获…

探索大语言模型的世界:入门指南

随着人工智能技术的飞速发展&#xff0c;大语言模型&#xff08;Large Language Models, LLMs&#xff09;已成为诸多行业关注的焦点。从自然语言处理到生成式人工智能&#xff0c;LLMs 正在改变我们与技术互动的方式。如果你刚刚接触大语言模型&#xff0c;不知道从何下手&…

STM32-按键扫描配置

问题引入 由于在使用例程中的按键时&#xff0c;发现按键无效&#xff0c;经过Debug发现程序进入按键扫描死循环中。 由于初始按键引脚时&#xff0c;按键引脚上拉&#xff0c;按下为高电平。给的引脚配置为浮空输入&#xff08;不确定高低电平&#xff09;&#xff0c;导致初…

用 Python 实现井字棋游戏

一、引言 井字棋&#xff08;Tic-Tac-Toe&#xff09;是一款经典的两人棋类游戏。在这个游戏中&#xff0c;玩家轮流在 3x3 的棋盘上放置自己的标记&#xff0c;通常是 “X” 和 “O”&#xff0c;第一个在棋盘上连成一线&#xff08;横、竖或斜&#xff09;的玩家即为获胜者。…

对象的状态变化处理与工厂模式实现

一、引言 在 C 编程中&#xff0c;有效地处理对象的状态变化以及合理运用设计模式可以极大地提高代码的可维护性、可扩展性和可读性。本文将深入探讨 C 如何处理对象的状态变化以及如何实现工厂模式。 二、C 中对象的状态变化处理 使用成员变量表示状态 class GameCharacte…