Android Selinux

Sepolicy在调试阶段真心很烦，有时因为一个sepolicy就导致结果与预期不一样。

1. Sepolicy规则

Sepolicy 规则

allow sourcecontext targetcontext:class {}

• sourcecontext: scontext
• targetcontext: tcontext
• class: tclass

Sepolicy 文件存放的位置

• AOSP 7.1 system/sepolicy/

• OEM产商一般会有overlay, 如Nvidia

  device/nvidia/common/sepolicy_n/

2. 临时disable

adb shell setenforce 0
# 设置SELinux 成为permissive模式(SELinux开启，但对违反selinux规则的行为只记录，不会阻止)

adb shell setenforce 1
#设置SELinux 成为enforcing模式 (SELinux开启)

可以通过 getenforce 来获得当前系统 selinux 的状态

如果是

• Enforcing enabled
• Permissive disabled

缺点: adb reboot后系统恢复成原来的状态

3. 在代码中永久关闭 selinux

代码文件 system/core/init/init.cpp

找到函数 selinux_initialize

static void selinux_initialize(bool in_kernel_domain) {                                                                                                               
    bool is_enforcing = selinux_is_enforcing();
}

将 bool is_enforcing = selinux_is_enforcing(); 改为

bool is_enforcing = false; //selinux_is_enforcing(); 即可，

这样即使系统重启也会被永久disabled掉了

注意: 编译出来的 init可执行文件是在设备的根目录下，而不是/system/bin/下,且init 会被打包进 boot.img， 而非 system.img.

4. Selinux规则

4.1 binder_call

05-16 12:41:23.390 W/BootAnimation(  114): type=1400 audit(0.0:6): avc: denied { call } for
scontext=u:r:bootanim:s0 tcontext=u:r:mediaserver:s0 tclass=binder permissive=0

需要在bootanim.te里加入binder_call(bootanim, mediaserver)

4.2 allow

avc:  denied  { find } for service=media.audio_flinger pid=665 uid=1003
scontext=u:r:bootanim:s0 tcontext=u:object_r:audioserver_service:s0 tclass=service_manager permissive=0

需要在bootanim.te中加入

allow bootanim audioserver_service:service_manager find

5.证修改成功

通过编译后可以在 out/debug/target/product/xxx/root目录下找到file_contexts.bin

最后通过工具 sefcontext将file_contexts.bin 转换成 file_context

sefcontext file_contexts.bin -o file_contexts

也可通过 sefcontext_compile来打包

sefcontext_compile file_contexts