RK3399 Android 7.1.2 添加.sh的开机服务

RK3399 Android 7.1.2 添加.sh的开机服务

Android init.rc 添加开机服务，这里添加文件是device/rockchip/rk3399/rk3399_firefly_box/init.rc

在init.rc 添加服务，需要的话加上触发条件

+service ip_route /system/bin/ip_route.sh
+    user root
+    group root
+    oneshot

+on property:persist.sys.netok=1
+    start ip_route

拷贝文件到 /system/bin/ 目录

PRODUCT_COPY_FILES += \
  device/rockchip/rk3399/ip_route.sh:system/bin/ip_route.sh

满足条件 persist.sys.netok=1 就可以触发了， 这里可以自由定义有效值，开机完成的属性值也可以。4.4的版本可以这么做，但是5.0 之后Android 系统强化了SELINUX 功能，涉及到许多权限问题， 就需要比较更多的工作了。下面记录在7.1.2上添加脚本运行的过程。按照如上方法添加，开机满足条件发现没有启动，查看串口信息（注意不是logcat的信息，是串口信息），我们会看到“init: Warning! Service ip_route needs a SELinux domain defined; please fix!”这样警告。这是因为我们没有为service ip_route定义SELinux的权限规则。
参考其他的blog https://blog.csdn.net/wince_lover/article/details/50164969
https://blog.csdn.net/u011341111/article/details/79458480?utm_source=blogkpcl4

添加 ip_route.te 文件

	device/rockchip/common/sepolicy/ip_route.te
		type ip_route, domain;
		type ip_route_exec, exec_type, file_type;
		permissive ip_route;
		init_daemon_domain(ip_route)
		
	device/rockchip/common/sepolicy/file_contexts
	@@ -163,3 +163,6 @@
	+#ip_route
	+/system/bin/ip_route.sh u:object_r:ip_route_exec:s0

init.rc 中加上 seclabel u:r:ip_route:s0

	+service ip_route /system/bin/ip_route.sh
	+    user root
	+    group root
	+    oneshot
	+    seclabel u:r:ip_route:s0

查看执行权限

permissive ip_route;init_daemon_domain(ip_route) 这两句是允许输出打印信息，先加上，后面可以去掉。
这样修改之后，服务仍然没有正常启动，但是有打印. 在adb shell ，使用 setprop ctl.start ip_route 手动运行服务，dmesg 会看到关于ip_route 的打印， 保存下来 dmesg | grep avc > /data/avc_log.txt 这里会打印出来为么没有启动成功。在linux 下使用命令 audit2allow -i avc_log.txt，可以看到系统的服务还需要什么权限。

#============= ip_route ==============
allow ip_route init:unix_stream_socket connectto;
allow ip_route net_data_file:file { read getattr open };
allow ip_route property_socket:sock_file write;
allow ip_route rootfs:lnk_file getattr;
allow ip_route self:capability net_admin;
allow ip_route self:netlink_route_socket { write getattr setopt nlmsg_write read bind create };
allow ip_route shell_exec:file { read getattr };
allow ip_route system_file:file { entrypoint execute_no_trans };
allow ip_route system_prop:property_service set;
allow ip_route toolbox_exec:file { read getattr open execute execute_no_trans };

把这块都加入 ip_route.te 文件中

type ip_route, domain;
type ip_route_exec, exec_type, file_type;

#permissive ip_route;
#init_daemon_domain(ip_route)

allow ip_route init:unix_stream_socket connectto;
allow ip_route net_data_file:file { read getattr open };
allow ip_route property_socket:sock_file write;
allow ip_route rootfs:lnk_file getattr;
allow ip_route self:capability net_admin;
allow ip_route self:netlink_route_socket { write getattr setopt nlmsg_write read bind create };
allow ip_route shell_exec:file { read getattr };
allow ip_route system_file:file { entrypoint execute_no_trans };
allow ip_route system_prop:property_service set;
allow ip_route toolbox_exec:file { read getattr open execute execute_no_trans };

添加权限与系统兼容问题，导致编译失败

使用make bootimage 编译 发现有个错误，

[  0% 2/233] build out/target/product/rk3399_firefly_box/obj/ETC/sepolicy_intermediates/sepolicy
FAILED: /bin/bash -c "(out/host/linux-x86/bin/checkpolicy -M -c 30 -o out/target/product/rk3399_firefly_box/obj/ETC/sepolicy_intermediates/sepolicy.tmp out/target/product/rk3399_firefly_box/obj/ETC/sepolicy_intermediates/policy.conf ) && (out/host/linux-x86/bin/checkpolicy -M -c 30 -o out/target/product/rk3399_firefly_box/obj/ETC/sepolicy_intermediates//sepolicy.dontaudit out/target/product/rk3399_firefly_box/obj/ETC/sepolicy_intermediates/policy.conf.dontaudit ) && (out/host/linux-x86/bin/sepolicy-analyze out/target/product/rk3399_firefly_box/obj/ETC/sepolicy_intermediates/sepolicy.tmp permissive > out/target/product/rk3399_firefly_box/obj/ETC/sepolicy_intermediates/sepolicy.permissivedomains ) && (if [ \"userdebug\" = \"user\" -a -s out/target/product/rk3399_firefly_box/obj/ETC/sepolicy_intermediates/sepolicy.permissivedomains ]; then                echo \"==========\" 1>&2;               echo \"ERROR: permissive domains not allowed in user builds\" 1>&2;             echo \"List of invalid domains:\" 1>&2;                 cat out/target/product/rk3399_firefly_box/obj/ETC/sepolicy_intermediates/sepolicy.permissivedomains 1>&2;               exit 1;                 fi ) && (mv out/target/product/rk3399_firefly_box/obj/ETC/sepolicy_intermediates/sepolicy.tmp out/target/product/rk3399_firefly_box/obj/ETC/sepolicy_intermediates/sepolicy )"
		libsepol.report_failure: neverallow on line 237 of system/sepolicy/domain.te (or line 9035 of policy.conf) violated by allow ip_route system_file:file { entrypoint };

其中关键是这句 。，查看 line 237 of system/sepolicy/domain.te

	neverallow on line 237 of system/sepolicy/domain.te (or line 9035 of policy.conf) violated by allow ip_route system_file:file { entrypoint };

不允许请求这个权限， 那我们就要改成允许，添加 -ip_route 例外。

+++ b/system/sepolicy/domain.te
@@ -234,7 +234,7 @@ neverallow { domain -init } kernel:security setsecparam;
 neverallow { domain -init -system_server -ueventd } hw_random_device:chr_file *;
 
 # Ensure that all entrypoint executables are in exec_type or postinstall_file.
-neverallow * { file_type -exec_type -postinstall_file }:file entrypoint;
+neverallow { -ip_route } { file_type -exec_type -postinstall_file }:file entrypoint;

之后就能编译通过，烧录后可以正常启动了。

附上 ip_route.sh 的内容 ，这个是添加网络路由策略的命令，需要的权限比较多，按要求添加即可。

 1 #!/system/bin/sh
  2 
  3 ip rule add from all lookup main pref 9999
  4 setprop persist.sys.netok 0
  5 echo "ip rule add from all lookup main pref 9999"

~