SELinux/SEAndroid 实例简述（二） TE语言规则

最新推荐文章于 2024-03-07 14:21:03 发布
最新推荐文章于 2024-03-07 14:21:03 发布
阅读量6.1k 收藏 29
点赞数 4
分类专栏： Android系统编程 文章标签： SEAndroid SELinux Android 6.0
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/shell812/article/details/54930246
版权 


   
   
  1. /***********************************
  2. * Author：刘江明 
  3. * Environment：MTK Android 6.0
  4. * Date：2016年11月05日
  5. ***********************************/

一. 基本语法
很多te文件集中在\external\sepolicy文件夹下，MTK也有很多自定义的在\device\mediatek\common\sepolicy。它的最基本样式是        
  
  
  1. allow factory powerctl_prop:property_service set;
  2. allow factory ttyGS_device:chr_file { read write open ioctl};
  3. allow factory ttyMT_device:chr_file { read write open ioctl};
  4. allow factory irtx_device:chr_file { read write ioctl open };
  5. allow factory devpts:chr_file { read write getattr ioctl };
这些allow语句就是最基本的te语句了，相似的te语句的会被归类在一个的te文件下面。如上面的语句是作用于factory，则会在 factory .te文件里。 \external\sepolicy集中了很多系统定义的te文件 
文件名 归类
mac_permissions.xml App进程
seapp_contexts App数据文件
file_contexts 系统文件
property_contexts 系统属性
最基本的语法为：     
    
    
  1. /*
  2. rule_name：规则名，分别有allow,dontaudit,neverallow等
  3. source_type：主要作用是用来填写一个域(domain)
  4. target_type：类型
  5. class：类别，主要有File,Dir,Socket,SEAndroid还有Binder等
  6. perm_set：动作集
  7. */
  8. rule_name source_type target_type:class perm_set
我们   从上面拿一个实例下来分析一下： 
    
    
  1. /*
  2.   用中文来表述是：允许factory域里的进程或服务
  3.   对类型为ttyMT_device的类别为文件(file)
  4.   执行open,read,write,ioctl权限
  5. */
  6. allow factory ttyMT_device:chr_file { read write open ioctl};

te表达式基本上就是这样：
rule_name：规则名称，除了有allow还有dontaudit，auditallow和neverallow
source_type：源类型，对应一个很重要的概念--------域（domain）
tartget_type：目标的类型，即安全上下文，SELinux一个重要的判断对象
class：类别，目标（客体）是哪种类别，主要有File,Dir,Socket,SEAndroid还有Binder等，在这些基础上又细分出设备字符类型（chr_file），链接文件（lnk_file）等。可以通过ls -l查看文件类型
perm_set：动作集

从上到下按顺序介绍一下：
rule_name:

 allow：允许某个进程执行某个动作
auditallow：audit含义就是记录某项操作。默认SELinux只记录那些权限检查失败的操作。 auditallow则使得权限检查成功的操作也被记录。注意，allowaudit只是允许记录，它和赋予权限没关系。赋予权限必须且只能使用allow语句。
dontaudit：对那些权限检查失败的操作不做记录。
neverallow：没有被allow到的动作默认就不允许执行的。neverallow只是显式地写出某个动作不被允许，如果添加了该动作的allow，则会编译错误

source_type：
指定一个“域”（domain），一般用于描述进程，该域内的的进程，受该条TE语句的限制。用type关键字，把一个自定义的域与原有的域相关联
最简单地定义一个新域的方式为： 
    
    
  1. type shell, domain
上面这句话的意思是，赋予shell给domain属性，同时，shell与属于domain这个集合里。如果有一个allow domain xxxxx 的语句，同样地也给了shell xxxxx的属性

target_type：
指定进程需要操作的客体（文件，文件夹等）类型（安全上下文），同样是用type与一些已有的类型，属性相关联
以上面的 ttyMT_device为例： 
    
    
  1. //定义一个类型，属于dev_type属性
  2. type ttyMT_device, dev_type;
  3. //属性dev_type在external/sepolicyattributes的定义如下
  4. attribute dev_type;
attribute关键字定义一个属性，type可以与一个或多个属性关联，如 
    
    
  1. type usb_device, dev_type, mlstrustedobject;
另外，还有一个关键字typeattribute，type有两个作用，定义（声明）并关联某个属性。可以把这两个作用分开，type定义，typeattribute进行关联 
     
     
  1. #定义httpd_user_content_t，并关联两个属性
  2. type httpd_user_content_t, file_type, httpdcontent;  
  4. 分成两条语句进行表述：
  5. #定义httpd_user_content_t
  6. type httpd_user_content_t;
  7. #关联属性   
  8. typeattribute httpd_user_content_t file_type, httpdcontent;
这些类型（安全上下文）会显示地与一个“文件”想关联，如：
file_contexts里面显式定义了哪些文件属于ttyMT_device类型，即用ls -Z显示出来文件的安全上下文 
     
     
  1. /dev/ttyMT.* u:object_r:ttyMT_device:s0
虚拟文件系统的标识方式与普通的文件系统文件标识方式不一样，用genfscon来配置。 
     
     
  1. genfscon的语法是：
  2. genfscon fs_type pathprefix [-file_type] context
把/proc/mtk_demo/demo_file文件的安全上下文设置成demo_context 
     
     
  1. genfscon proc /mtk_demo/demo_file u:object_r:demo_context:s0
网络对象上下文 
     
     
  1. 例1：定义端口的上下文
  2. portcon tcp 80 system_u:object_r:http_port_t
  3. portcon tcp 8080 system_u:object_r:http_port_t
  5. 例2：定义网络接口的上下文：
  6. netifcon eth0 system_u:object_r:netif_eth0_t system_u:object_r:netmsg_eth0_t
  8. 例3：定义节点的上下文
  9. nodecon 10.33.10.66 255.255.255.255 system_u:object_r:node_zeus_t;
  10. nodecon 10.33.10.0 255.255.255.0 system_u:object_r:node_any_t
        
然后你会有一个疑问，这么多属性，这些属性有什么作用，这些属性会有一个地方显式地说明这个属性拥有什么权限，在external/sepolicy/domain里就有非常详细的描述。另个在external/sepolicy/attributes里定义了很多属性，下面截取了一些常见的定义 
     
     
  1. # All types used for devices.
  2. attribute dev_type;
  4. # All types used for processes.
  5. attribute domain;
  7. # All types used for filesystems.
  8. attribute fs_type;
  10. # All types used for files that can exist on a labeled fs.
  11. # Do not use for pseudo file types.
  12. attribute file_type;
  14. # All types used for domain entry points.
  15. attribute exec_type;
  17. # All types used for property service
  18. attribute property_type;
  20. # All service_manager types created by system_server
  21. attribute system_server_service;
  23. # All domains that can override MLS restrictions.
  24. # i.e. processes that can read up and write down.
  25. attribute mlstrustedsubject;
  27. # All types that can override MLS restrictions.
  28. # i.e. files that can be read by lower and written by higher
  29. attribute mlstrustedobject;
  31. # All domains used for apps.
  32. attribute appdomain;
  34. # All domains used for apps with network access.
  35. attribute netdomain;
  37. # All domains used for binder service domains.
  38. attribute binderservicedomain;

class：
客体的具体类别。用class来定义一个客体类别，具体定义方式 如下 
    
    
  1. [external/sepolicy/security_classes示例]
  2. # file-related classes
  3. class filesystem
  4. class file  #代表普通文件
  5. class dir   #代表目录
  6. class fd    #代表文件描述符
  7. class lnk_file  #代表链接文件
  8. class chr_file  #代表字符设备文件
  9.  ......
  10.  
  11. # network-related classes
  12. class socket   #socket
  13. class tcp_socket
  14. class udp_socket
  15. ......
  16. class binder   #Android平台特有的binder
  17. class zygote   #Android平台特有的zygote

perm_set：
具体的操作，系统的定义在 external/sepolicy/access_vectors。 有两种定义方法。
用common命令定义： 
    
    
  1. 格式为：common common_name { permission_name ... } 
  2. common定义的perm set能被另外一种perm set命令class所继承
  3. 如：
  4. common file {
  5.       ioctl read write create getattr setattr lock relabelfrom relabelto
  6.       append unlink link rename execute swapon quotaon mounton
用class命令定义： 
     
     
  1. class class_name [ inherits common_name ] { permission_name ... }
  2. inherits表示继承了某个common定义的权限  
  3. 注意，class命令它不能被其他class继承
  5. 继承一个common，如继承了file common
  6. class dir
  7. inherits file
  8. {
  9.         add_name
  10.         remove_name
  11.         reparent
  12.         search
  13.         rmdir
  14.         open
  15.         audit_access
  16.         execmod
  17. }
  19. 不继承任何common，如
  20. class binder
  21. {
  22.         impersonate
  23.         call
  24.         set_context_mgr
  25.         transfer
  26. }

    
    
  1. 然后是一些特殊的配置文件：
  2. a. external/sepolicy/attributes -> 所有定义的attributes都在这个文件
  3. b. external/sepolicy/access_vectors -> 对应了每一个class可以被允许执行的命令
  4. c. external/sepolicy/roles -> Android中只定义了一个role，名字就是r，将r和attribute domain关联起来
  5. d. external/sepolicy/users -> 其实是将user与roles进行了关联，设置了user的安全级别，s0为最低级是默认的级别，mls_systemHigh是最高的级别
  6. e. external/sepolicy/security_classes -> 指的是上文命令中的class，个人认为这个class的内容是指在android运行过程中，程序或者系统可能用到的操作的模块
  7. f. external/sepolicy/te_macros -> 系统定义的宏全在te_macros文件
  8. g. external/sepolicy/***.te -> 一些配置的文件，包含了各种运行的规则
                                                                                                    ----------------引用于《 android中SELINUX规则分析和语法简介 》

二. TE的正则表达式和集合
TE文件支持正则表达式，从下面可以看到，通配符是常用的通配符，可以度娘 
    
    
  1. /sys/devices/system/cpu(/.*)?    u:object_r:sysfs_devices_system_cpu:s0
  2. /sys/power/wake_lock -- u:object_r:sysfs_wake_lock:s0
  3. /sys/power/wake_unlock -- u:object_r:sysfs_wake_lock:s0
  4. /sys/kernel/uevent_helper --    u:object_r:usermodehelper:s0
  5. /sys/module/lowmemorykiller(/.*)? -- u:object_r:sysfs_lowmemorykiller:s0
  7. #############################
  8. # asec containers
  9. /mnt/asec(/.*)?             u:object_r:asec_apk_file:s0
  10. /mnt/asec/[^/]+/[^/]+\.zip  u:object_r:asec_public_file:s0
需要注意的是上面的"--"，这里的“--”表示二进制文件，类似的还有 
    
    
  1. #‘-b’ - Block Device ‘-c’ - Character Device
  2. #‘-d’ - Directory ‘-p’ - Named Pipe
  3. #‘-l’ - Symbolic Link ‘-s’ - Socket
  4. #‘--’ - Ordinary file
TE表达式里可以用“{}”来表示一个集合，如： 
     
     
  1. /*
  2.   允许user_t对bin_t类型的文件和文件夹执行read,getattr操作
  3. */
  4. allow user_t bin_t : { file dir } { read getattr }; 
  6. /*
  7.   允许domain对exec_type,sbin_t类型的文件执行execute的动作
  8. */
  9. allow domain { exec_type sbin_t } : file execute;
可以在集合里使用“*”，“-” 和 “~” 三个通配符 
     
     
  1. /*
  2.   允许user_t对bin_t类型的文件和文件夹执行所有操作
  3. */
  4. allow user_t bin_t : { file dir } *; 
  5. /*
  6.   允许user_t对bin_t类型的文件和文件夹执行除了read,getattr以外的所有操作
  7. */
  8. allow user_t bin_t : { file dir } ~{ read getattr }; 
  9. /*
  10.   允许domain对exec_type类型的文件执行execute的动作，除了sbin_t以外
  11. */
  12. allow domain { exec_type -sbin_t } : file execute;

三. TE的类型转换规则
为什么要转换类型
init进程拥有系统的最高权限，如果由Init进程fork，execu出来的进程默认是与init相同的权限，这肯定是不安全的。另一个场景是，由init生成的文件，默认也是init的读写权限，不方便其他低权限的文件进行访问。

类型转换有两种类型转换：
1. 主体的域的转换
2. 客体的转换

域的转换
type_transition的完整格式为： 
    
    
  1. type_transition source_type target_type : class default_type;
  2. 举个例子
  3. type_transition init_t apache_exec_t : process apache_t;
type_transition init_t apache_exec_t : process apache_t;
 init_t 进程执行type为apache_exec_t的可执行文件时，新的进程转换到apache_t域
但是上面只是告诉了转换的过程，却没有说明，有转换的权限，如果要上面的转换成功，还需要下面的语句： 
    
    
  1. #首先，你得让init_t域中的进程能够执行type为apache_exec_t的文件
  2. allow init_t apache_exec_t : file execute;
  3. #然后，你还得告诉SELiux，允许init_t做DT切换以进入apache_t域
  4. allow init_t apache_t : process transition;
  5. #最后，你还得告诉SELinux，切换入口（对应为entrypoint权限）为执行pache_exec_t类型的文件
  6. allow apache_t apache_exec_t : file entrypoint;

客体的转换
例子： 
    
    
  1. type_transition passwd_t tmp_t : file passwd_tmp_t;
passwd_t在tmp_t目录下创建文件时，该文件的类型转化为passwd_tmp_t。这里默认隐含了一个tmp_t类型dir，因为file的容器只能是个dir。同样的，如果要上面的语句运行成功，与需要有相应的权限说明： 
     
     
  1. 对应的必须有两个前提条件:
  2. * The source domain needs permission to add file entries into the directory
  3. 这个process 必须有在这个目录下添加文件的权限.
  4.  
  5. * The source domain needs permission to create file entries
  6. 这个process 必须有在这个目录下创建以这个Security Context 为Label 的文件权限.
如果每个转换之前都需要这样繁锁地权限声音实在很麻烦。TE里允许把这些相同的，重复使用的语句定义成一个宏，类似于函数一样。

四. TE的宏
如果把上面domain转换的例子定义成一个宏，应该定义如下： 
     
     
  1. #定义domain_auto_trans宏，$1,$2等等代表宏的第一个，第二个....参数
  3. define(`domain_auto_trans', `
  4. 	# 先allow相关权限,domain_trans宏定义在后面
  5. 	domain_trans($1,$2,$3)
  6. 	# 然后设置type_transition
  7. 	type_transition $1 $2:process $3;
  8. ')
  10. #定义domain_trans宏。
  11. define(`domain_trans', `
  12. 	# SEAndroid在上述三个最小权限上，还添加了自己的一些权限
  13. 	allow $1 $2:file { getattr open read execute };
  14. 	allow $1 $3:process transition;
  15. 	allow $3 $2:file { entrypoint read execute };
  16. 	allow $3 $1:process sigchld;
  17. 	dontaudit $1 $3:process noatsecure;
  18. 	allow $1 $3:process { siginh rlimitinh };
  19. ')
上面的宏定义在external/sepolicy/te_macros里。客体的转换定义如下： 
     
     
  1. #####################################
  2. # file_type_auto_trans(domain, dir_type, file_type)
  3. # Automatically label new files with file_type when
  4. # they are created by domain in directories labeled dir_type.
  5. #
  6. define(`file_type_auto_trans', `
  7. # Allow the necessary permissions.
  8. file_type_trans($1, $2, $3)
  9. # Make the transition occur by default.
  10. type_transition $1 $2:dir $3;
  11. type_transition $1 $2:notdevfile_class_set $3;
  12. ')
  14. define(`file_type_trans', `
  15. # Allow the domain to add entries to the directory.
  16. allow $1 $2:dir ra_dir_perms;
  17. # Allow the domain to create the file.
  18. allow $1 $3:notdevfile_class_set create_file_perms;
  19. allow $1 $3:dir create_dir_perms;
  20. ')

TE的集合也可以定义成一个宏代替，如读写文件操作集的宏： 
     
     
  1. define(`x_file_perms', `{ getattr execute execute_no_trans }')
  2. define(`r_file_perms', `{ getattr open read ioctl lock }')
  3. define(`w_file_perms', `{ open append write }')
  4. define(`rx_file_perms', `{ r_file_perms x_file_perms }')
  5. define(`ra_file_perms', `{ r_file_perms append }')
  6. define(`rw_file_perms', `{ r_file_perms w_file_perms }')
  7. define(`rwx_file_perms', `{ rw_file_perms x_file_perms }')
  8. define(`create_file_perms', `{ create rename setattr unlink rw_file_perms }')
使用方式是： 
     
     
  1. allow demo demo_device:chr_file rw_file_perms;


 参考文章： 
    
    
  1. /***********************************
  2. * Author：刘江明 
  3. * Environment：MTK Android 6.0
  4. * Date：2016年11月05日
  5. ***********************************/

一. 基本语法
很多te文件集中在\external\sepolicy文件夹下，MTK也有很多自定义的在\device\mediatek\common\sepolicy。它的最基本样式是        
   
   
  1. allow factory powerctl_prop:property_service set;
  2. allow factory ttyGS_device:chr_file { read write open ioctl};
  3. allow factory ttyMT_device:chr_file { read write open ioctl};
  4. allow factory irtx_device:chr_file { read write ioctl open };
  5. allow factory devpts:chr_file { read write getattr ioctl };
这些allow语句就是最基本的te语句了，相似的te语句的会被归类在一个的te文件下面。如上面的语句是作用于factory，则会在 factory .te文件里。 \external\sepolicy集中了很多系统定义的te文件 
文件名 归类
mac_permissions.xml App进程
seapp_contexts App数据文件
file_contexts 系统文件
property_contexts 系统属性
最基本的语法为：     
     
     
  1. /*
  2. rule_name：规则名，分别有allow,dontaudit,neverallow等
  3. source_type：主要作用是用来填写一个域(domain)
  4. target_type：类型
  5. class：类别，主要有File,Dir,Socket,SEAndroid还有Binder等
  6. perm_set：动作集
  7. */
  8. rule_name source_type target_type:class perm_set
我们   从上面拿一个实例下来分析一下： 
     
     
  1. /*
  2.   用中文来表述是：允许factory域里的进程或服务
  3.   对类型为ttyMT_device的类别为文件(file)
  4.   执行open,read,write,ioctl权限
  5. */
  6. allow factory ttyMT_device:chr_file { read write open ioctl};

te表达式基本上就是这样：
rule_name：规则名称，除了有allow还有dontaudit，auditallow和neverallow
source_type：源类型，对应一个很重要的概念--------域（domain）
tartget_type：目标的类型，即安全上下文，SELinux一个重要的判断对象
class：类别，目标（客体）是哪种类别，主要有File,Dir,Socket,SEAndroid还有Binder等，在这些基础上又细分出设备字符类型（chr_file），链接文件（lnk_file）等。可以通过ls -l查看文件类型
perm_set：动作集

从上到下按顺序介绍一下：
rule_name:
 allow：允许某个进程执行某个动作
auditallow：audit含义就是记录某项操作。默认SELinux只记录那些权限检查失败的操作。 auditallow则使得权限检查成功的操作也被记录。注意，allowaudit只是允许记录，它和赋予权限没关系。赋予权限必须且只能使用allow语句。
dontaudit：对那些权限检查失败的操作不做记录。
neverallow：没有被allow到的动作默认就不允许执行的。neverallow只是显式地写出某个动作不被允许，如果添加了该动作的allow，则会编译错误

source_type：
指定一个“域”（domain），一般用于描述进程，该域内的的进程，受该条TE语句的限制。用type关键字，把一个自定义的域与原有的域相关联
最简单地定义一个新域的方式为： 
     
     
  1. type shell, domain
上面这句话的意思是，赋予shell给domain属性，同时，shell与属于domain这个集合里。如果有一个allow domain xxxxx 的语句，同样地也给了shell xxxxx的属性

target_type：
指定进程需要操作的客体（文件，文件夹等）类型（安全上下文），同样是用type与一些已有的类型，属性相关联
以上面的 ttyMT_device为例： 
     
     
  1. //定义一个类型，属于dev_type属性
  2. type ttyMT_device, dev_type;
  3. //属性dev_type在external/sepolicyattributes的定义如下
  4. attribute dev_type;
attribute关键字定义一个属性，type可以与一个或多个属性关联，如 
     
     
  1. type usb_device, dev_type, mlstrustedobject;
另外，还有一个关键字typeattribute，type有两个作用，定义（声明）并关联某个属性。可以把这两个作用分开，type定义，typeattribute进行关联 
      
      
  1. #定义httpd_user_content_t，并关联两个属性
  2. type httpd_user_content_t, file_type, httpdcontent;  
  4. 分成两条语句进行表述：
  5. #定义httpd_user_content_t
  6. type httpd_user_content_t;
  7. #关联属性   
  8. typeattribute httpd_user_content_t file_type, httpdcontent;
这些类型（安全上下文）会显示地与一个“文件”想关联，如：
file_contexts里面显式定义了哪些文件属于ttyMT_device类型，即用ls -Z显示出来文件的安全上下文 
      
      
  1. /dev/ttyMT.* u:object_r:ttyMT_device:s0
虚拟文件系统的标识方式与普通的文件系统文件标识方式不一样，用genfscon来配置。 
      
      
  1. genfscon的语法是：
  2. genfscon fs_type pathprefix [-file_type] context
把/proc/mtk_demo/demo_file文件的安全上下文设置成demo_context 
      
      
  1. genfscon proc /mtk_demo/demo_file u:object_r:demo_context:s0
网络对象上下文 
      
      
  1. 例1：定义端口的上下文
  2. portcon tcp 80 system_u:object_r:http_port_t
  3. portcon tcp 8080 system_u:object_r:http_port_t
  5. 例2：定义网络接口的上下文：
  6. netifcon eth0 system_u:object_r:netif_eth0_t system_u:object_r:netmsg_eth0_t
  8. 例3：定义节点的上下文
  9. nodecon 10.33.10.66 255.255.255.255 system_u:object_r:node_zeus_t;
  10. nodecon 10.33.10.0 255.255.255.0 system_u:object_r:node_any_t
        
然后你会有一个疑问，这么多属性，这些属性有什么作用，这些属性会有一个地方显式地说明这个属性拥有什么权限，在external/sepolicy/domain里就有非常详细的描述。另个在external/sepolicy/attributes里定义了很多属性，下面截取了一些常见的定义 
      
      
  1. # All types used for devices.
  2. attribute dev_type;
  4. # All types used for processes.
  5. attribute domain;
  7. # All types used for filesystems.
  8. attribute fs_type;
  10. # All types used for files that can exist on a labeled fs.
  11. # Do not use for pseudo file types.
  12. attribute file_type;
  14. # All types used for domain entry points.
  15. attribute exec_type;
  17. # All types used for property service
  18. attribute property_type;
  20. # All service_manager types created by system_server
  21. attribute system_server_service;
  23. # All domains that can override MLS restrictions.
  24. # i.e. processes that can read up and write down.
  25. attribute mlstrustedsubject;
  27. # All types that can override MLS restrictions.
  28. # i.e. files that can be read by lower and written by higher
  29. attribute mlstrustedobject;
  31. # All domains used for apps.
  32. attribute appdomain;
  34. # All domains used for apps with network access.
  35. attribute netdomain;
  37. # All domains used for binder service domains.
  38. attribute binderservicedomain;

class：
客体的具体类别。用class来定义一个客体类别，具体定义方式 如下 
     
     
  1. [external/sepolicy/security_classes示例]
  2. # file-related classes
  3. class filesystem
  4. class file  #代表普通文件
  5. class dir   #代表目录
  6. class fd    #代表文件描述符
  7. class lnk_file  #代表链接文件
  8. class chr_file  #代表字符设备文件
  9.  ......
  10.  
  11. # network-related classes
  12. class socket   #socket
  13. class tcp_socket
  14. class udp_socket
  15. ......
  16. class binder   #Android平台特有的binder
  17. class zygote   #Android平台特有的zygote

perm_set：
具体的操作，系统的定义在 external/sepolicy/access_vectors。 有两种定义方法。
用common命令定义： 
     
     
  1. 格式为：common common_name { permission_name ... } 
  2. common定义的perm set能被另外一种perm set命令class所继承
  3. 如：
  4. common file {
  5.       ioctl read write create getattr setattr lock relabelfrom relabelto
  6.       append unlink link rename execute swapon quotaon mounton
用class命令定义： 
      
      
  1. class class_name [ inherits common_name ] { permission_name ... }
  2. inherits表示继承了某个common定义的权限  
  3. 注意，class命令它不能被其他class继承
  5. 继承一个common，如继承了file common
  6. class dir
  7. inherits file
  8. {
  9.         add_name
  10.         remove_name
  11.         reparent
  12.         search
  13.         rmdir
  14.         open
  15.         audit_access
  16.         execmod
  17. }
  19. 不继承任何common，如
  20. class binder
  21. {
  22.         impersonate
  23.         call
  24.         set_context_mgr
  25.         transfer
  26. }

     
     
  1. 然后是一些特殊的配置文件：
  2. a. external/sepolicy/attributes -> 所有定义的attributes都在这个文件
  3. b. external/sepolicy/access_vectors -> 对应了每一个class可以被允许执行的命令
  4. c. external/sepolicy/roles -> Android中只定义了一个role，名字就是r，将r和attribute domain关联起来
  5. d. external/sepolicy/users -> 其实是将user与roles进行了关联，设置了user的安全级别，s0为最低级是默认的级别，mls_systemHigh是最高的级别
  6. e. external/sepolicy/security_classes -> 指的是上文命令中的class，个人认为这个class的内容是指在android运行过程中，程序或者系统可能用到的操作的模块
  7. f. external/sepolicy/te_macros -> 系统定义的宏全在te_macros文件
  8. g. external/sepolicy/***.te -> 一些配置的文件，包含了各种运行的规则
                                                                                                    ----------------引用于《 android中SELINUX规则分析和语法简介 》

二. TE的正则表达式和集合
TE文件支持正则表达式，从下面可以看到，通配符是常用的通配符，可以度娘 
     
     
  1. /sys/devices/system/cpu(/.*)?    u:object_r:sysfs_devices_system_cpu:s0
  2. /sys/power/wake_lock -- u:object_r:sysfs_wake_lock:s0
  3. /sys/power/wake_unlock -- u:object_r:sysfs_wake_lock:s0
  4. /sys/kernel/uevent_helper --    u:object_r:usermodehelper:s0
  5. /sys/module/lowmemorykiller(/.*)? -- u:object_r:sysfs_lowmemorykiller:s0
  7. #############################
  8. # asec containers
  9. /mnt/asec(/.*)?             u:object_r:asec_apk_file:s0
  10. /mnt/asec/[^/]+/[^/]+\.zip  u:object_r:asec_public_file:s0
需要注意的是上面的"--"，这里的“--”表示二进制文件，类似的还有 
     
     
  1. #‘-b’ - Block Device ‘-c’ - Character Device
  2. #‘-d’ - Directory ‘-p’ - Named Pipe
  3. #‘-l’ - Symbolic Link ‘-s’ - Socket
  4. #‘--’ - Ordinary file
TE表达式里可以用“{}”来表示一个集合，如： 
      
      
  1. /*
  2.   允许user_t对bin_t类型的文件和文件夹执行read,getattr操作
  3. */
  4. allow user_t bin_t : { file dir } { read getattr }; 
  6. /*
  7.   允许domain对exec_type,sbin_t类型的文件执行execute的动作
  8. */
  9. allow domain { exec_type sbin_t } : file execute;
可以在集合里使用“*”，“-” 和 “~” 三个通配符 
      
      
  1. /*
  2.   允许user_t对bin_t类型的文件和文件夹执行所有操作
  3. */
  4. allow user_t bin_t : { file dir } *; 
  5. /*
  6.   允许user_t对bin_t类型的文件和文件夹执行除了read,getattr以外的所有操作
  7. */
  8. allow user_t bin_t : { file dir } ~{ read getattr }; 
  9. /*
  10.   允许domain对exec_type类型的文件执行execute的动作，除了sbin_t以外
  11. */
  12. allow domain { exec_type -sbin_t } : file execute;

三. TE的类型转换规则
为什么要转换类型
init进程拥有系统的最高权限，如果由Init进程fork，execu出来的进程默认是与init相同的权限，这肯定是不安全的。另一个场景是，由init生成的文件，默认也是init的读写权限，不方便其他低权限的文件进行访问。

类型转换有两种类型转换：
1. 主体的域的转换
2. 客体的转换

域的转换
type_transition的完整格式为： 
     
     
  1. type_transition source_type target_type : class default_type;
  2. 举个例子
  3. type_transition init_t apache_exec_t : process apache_t;
type_transition init_t apache_exec_t : process apache_t;
 init_t 进程执行type为apache_exec_t的可执行文件时，新的进程转换到apache_t域
但是上面只是告诉了转换的过程，却没有说明，有转换的权限，如果要上面的转换成功，还需要下面的语句： 
     
     
  1. #首先，你得让init_t域中的进程能够执行type为apache_exec_t的文件
  2. allow init_t apache_exec_t : file execute;
  3. #然后，你还得告诉SELiux，允许init_t做DT切换以进入apache_t域
  4. allow init_t apache_t : process transition;
  5. #最后，你还得告诉SELinux，切换入口（对应为entrypoint权限）为执行pache_exec_t类型的文件
  6. allow apache_t apache_exec_t : file entrypoint;

客体的转换
例子： 
     
     
  1. type_transition passwd_t tmp_t : file passwd_tmp_t;
passwd_t在tmp_t目录下创建文件时，该文件的类型转化为passwd_tmp_t。这里默认隐含了一个tmp_t类型dir，因为file的容器只能是个dir。同样的，如果要上面的语句运行成功，与需要有相应的权限说明： 
      
      
  1. 对应的必须有两个前提条件:
  2. * The source domain needs permission to add file entries into the directory
  3. 这个process 必须有在这个目录下添加文件的权限.
  4.  
  5. * The source domain needs permission to create file entries
  6. 这个process 必须有在这个目录下创建以这个Security Context 为Label 的文件权限.
如果每个转换之前都需要这样繁锁地权限声音实在很麻烦。TE里允许把这些相同的，重复使用的语句定义成一个宏，类似于函数一样。

四. TE的宏
如果把上面domain转换的例子定义成一个宏，应该定义如下： 
      
      
  1. #定义domain_auto_trans宏，$1,$2等等代表宏的第一个，第二个....参数
  3. define(`domain_auto_trans', `
  4. 	# 先allow相关权限,domain_trans宏定义在后面
  5. 	domain_trans($1,$2,$3)
  6. 	# 然后设置type_transition
  7. 	type_transition $1 $2:process $3;
  8. ')
  10. #定义domain_trans宏。
  11. define(`domain_trans', `
  12. 	# SEAndroid在上述三个最小权限上，还添加了自己的一些权限
  13. 	allow $1 $2:file { getattr open read execute };
  14. 	allow $1 $3:process transition;
  15. 	allow $3 $2:file { entrypoint read execute };
  16. 	allow $3 $1:process sigchld;
  17. 	dontaudit $1 $3:process noatsecure;
  18. 	allow $1 $3:process { siginh rlimitinh };
  19. ')
上面的宏定义在external/sepolicy/te_macros里。客体的转换定义如下： 
      
      
  1. #####################################
  2. # file_type_auto_trans(domain, dir_type, file_type)
  3. # Automatically label new files with file_type when
  4. # they are created by domain in directories labeled dir_type.
  5. #
  6. define(`file_type_auto_trans', `
  7. # Allow the necessary permissions.
  8. file_type_trans($1, $2, $3)
  9. # Make the transition occur by default.
  10. type_transition $1 $2:dir $3;
  11. type_transition $1 $2:notdevfile_class_set $3;
  12. ')
  14. define(`file_type_trans', `
  15. # Allow the domain to add entries to the directory.
  16. allow $1 $2:dir ra_dir_perms;
  17. # Allow the domain to create the file.
  18. allow $1 $3:notdevfile_class_set create_file_perms;
  19. allow $1 $3:dir create_dir_perms;
  20. ')

TE的集合也可以定义成一个宏代替，如读写文件操作集的宏： 
      
      
  1. define(`x_file_perms', `{ getattr execute execute_no_trans }')
  2. define(`r_file_perms', `{ getattr open read ioctl lock }')
  3. define(`w_file_perms', `{ open append write }')
  4. define(`rx_file_perms', `{ r_file_perms x_file_perms }')
  5. define(`ra_file_perms', `{ r_file_perms append }')
  6. define(`rw_file_perms', `{ r_file_perms w_file_perms }')
  7. define(`rwx_file_perms', `{ rw_file_perms x_file_perms }')
  8. define(`create_file_perms', `{ create rename setattr unlink rw_file_perms }')
使用方式是： 
      
      
  1. allow demo demo_device:chr_file rw_file_perms;


 参考文章：
BigBee3.
关注
  • 4
    点赞
  • 踩
  • 29
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
简述Android中SELinux的TE
01-04
所有的主体（程序进程）对客体（文件/socket等资源）的访问都有一条TE规则来许可。当程序访问一个资源的时候，系统会搜索所有的TE规则集，并根据结果进行处理。这个规则集是由访问向量规则（AV， Access Vector）来...
android vold asec 流程
依然怡然
10-13 1155
http://blog.csdn.net/myarrow/article/details/8778621 1. 简介     为了能把应用程序安装到SD卡和TF卡上，Android系统默认是不支持的，它只有一个asec mount点： /mnt/secure/asec，在我的系统中，此mount点由/mnt/sdcard给占用了，所以TF卡就支持不了。为了解决此问题，除了把
SElinux 读懂.te 定义自己的 .te【转】
zzb2760715357的博客
07-23 134
本文转载自:https://blog.csdn.net/kongbaidepao/article/details/61417291 一、 .te 文件定义中的一些宏 1.1 unix_socket_connect(1,1,2, $3 )这个其实是一个宏。它定义在 te_macros(android系统，mtk 和 qcom 下面都有) 的文件里面的： #####################...
Android Selinux详解[一]---整体介绍
最新发布
weixin_41028555的博客
03-07 1013
Android 使用安全增强型 Linux (SELinux) 对所有进程强制执行强制访问控制 (MAC)，甚至包括以 Root/超级用户权限运行的进程（Linux 功能）。借助 SELinux，Android 可以更好地保护和限制系统服务、控制对应用数据和系统日志的访问、降低恶意软件的影响，并保护用户免遭移动设备上的代码可能存在的缺陷的影响。ELinux 按照默认拒绝的原则运行：任何未经明确允许的行为都会被拒绝。下面大概介绍一下工作中经常遇到的Selinux相关知识。
增加SELinux TE 规则方法
苟浩的博客
03-01 1160
增加SELinux TE 规则方法 执行semanage dontaudit off。因为有时审计日志打印的不全。 判断是不是因为selinux权限导致的问题。打开selinux，命令无法执行；关闭selinux，命令可以执行，则可以确定是selinux的问题。 执行setenforce 0，关闭selinux。 tail -f /var/log/audit/audit.log，再执行相应的命令。这样可以只获取在这个命令执行期间出现的AVC日志，在加权限的时候要保证最小权限。 将第4步中
Selinux篇3 -TE规则
xieyinsen的专栏
11-25 1235
allow vold device:dir write 这句的意思是：允许 type 为 vold 的主体 对 type 为 device的客体 拥有 客体类别为 dir 的write 权限。根据 SELinux 规范，规则定义的格式为： rule_name source_type target_type : class perm_set; 可以看到规则中只用到了主体和客体的 type，而动作是以操作类别与具体操作的组合体现的。 所有 rule_name 如下： allow 表示允许主体对客体执行
Andorid SELinux策略、te语法、avc权限总结
繁鑫..的博客
02-16 3685
浅谈te语法前言1.引言2.基本定义2.1 用type关键字定义类型2.2 用typealias声明别名2.3 attribute关键字声明属性/域2.4 类型与属性/域相关联3.基本语法3.1 rule_name3.2 source_type3.3 target_type3.4 class3.5 perm_set4.通常avc权限配置 前言 好久没更新了，去年忙到年底，终于闲下来了，现在开始对近期的学习做一个总结 1.引言 SElinux是Google在android4.3版本上引入的，只不过是默认关闭
Android安全策略SELinux
qq_27672101的博客
08-01 8903
SELinux原本是美国国安局联合一些公司设计的一个针对Linux的安全加强系统。 SELinux出现之前，Linux系统上的安全模型叫做DAC（自主访问控制），其原理是进程所拥有的权限与执行它的用户的权限相同（例如：以root用户启动Browser，那么Browser就有root用户的权限，在Linux系统上能干任何事情）。SELinux的出现结束了这种宽松的访问。 SELinux在DAC的基础之上，设计了新的安全模型叫做MAC（强制访问控制），其原理是任何进程想在SELinux系统中干任何事情，都必
Android中的SELinux
麦芽的博客
01-16 1717
SELinux （Security Enhanced Linux）是由美国NSA（国安局）和 SCC 开发的 Linux 的一个扩张强制访问控制安全模块，目的是最大限度减少系统中服务进程可访问的资源。Google 在 Android 4.4 上正式添加以 SELinux 为基础的系统安全机制，命名为SEAndroid。SEAndroid 在架构和机制上与 SELinux 完全一样，基于移动设备的特点，SEAndroid 的只是所以移植 SELinux 的一个子集。
Android SELinux
技术是用来解决问题的
12-21 2337
架构 从上层到驱动层的调用流程，但是我们重点关注sContext: 注： file_contexts //系统中所有file_contexts安全上下文 seapp_contexts //app安全上下文 property_contexts //属性的安全上下文 service_contexts //service文件安全上下文 genfs_contexts //虚拟......
Android 系统SELinux（SEAndroid）
tq501501的博客
06-25 3586
一、SE 概述 SELinux 是由美国NSA（国安局）和 SCC 开发的 Linux的一个扩张强制访问控制安全模块。原先是在Fluke上开发的，2000年以 GNU GPL 发布。从 fedoracore 2开始， 2.6内核的版本都支持SELinux。 1.1、DAC 与MAC 在 SELinux 出现之前，Linux 上的使用的安全模型是DAC（ Discretionary Access Control 自主访问控制）。 DAC 的核心思想很简单：进程理论上所拥有的权限与执行它的用...
【干货】Android系统定制基础篇：第五部分(Android关闭selinux、Android设置界面展示CPU序号、Android默认同意蓝牙的配对请求)
工宗浩生财指南针
06-18 1809
有时候我们需要某个字段做为设备的 唯一标识，常规的有 uuid、序列号、mac地址，但这些字段在重刷固件的情况下可能会变，因此我们可以读取 cpu序列号，这个字段唯一并且永久不变，除非更换 cpu。一些不带触摸屏设备，手机端发起蓝牙配对请求后，设备端无法点击确认。4.init进程会读取cmdline中androidboot.selinux字段，该字段有下面两个参数。为了方便用户查看，我们在『设置->系统->关于->状态信息』中展示此字段。3.再看selinux_status_from_cmdline()。
SELinux System - 2nd Edition + SELinux 详解 SEAndroid基础
01-23
SELinux System - 2nd Edition + SELinux 详解 SEAndroid基础
基于SELinux的SEAndroid
10-14
从Android的安全模型分析，SELinux如何解决Android的安全问题，SELinux和其他模型的对比，更适合应用于Android
深入理解SELinux SEAndroid.docx
04-17
深入理解Android SEAndroid
SELinux/SEAndroid 实例简述（三）实例看SELinux/SEAndroid
shell812的专栏
02-28 9460
/************************************ Author：刘江明 * Environment：MTK Android 6.0* Date：2016年11月06日***********************************/ 基础知识都已经学习完了，但是还不知道怎么样，下面从不同的场景，实现了几个例子，可以参考学习一下 对于/ex
从Jni到Java增加一个系统服务SystemServer，并通过getSystemService调用
shell812的专栏
11-13 3020
这里假设我们需要增加的服务名字为AudioTest。 Java层 我们先定义这个服务的接口，文件名为IAudioTest.aidl。里面包含这个服务所有的功能函数 IAudioTest.aidl: frameworks\base\core\java\android\service\audiotest\IAudioTest.aidl package android.servi
SELinux/SEAndroid 实例简述（一） 基础概念
shell812的专栏
02-08 2994
SELinux/SEAndroid 实例简述（一） 基础概念
sed -i '/SELINUX/s/enforcing/disabled/' /etc/selinux/config
02-21
命令"sed -i '/SELINUX/s/enforcing/disabled/' /etc/selinux/config"的作用是在/etc/selinux/config文件中，将包含"SELINUX"的行中的"enforcing"替换为"disabled"。 具体解释如下： - "sed"是命令本身，用于调用...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值