添加 Selinux 权限步骤

最新推荐文章于 2024-07-03 10:09:15 发布
最新推荐文章于 2024-07-03 10:09:15 发布
阅读量6.8k 收藏 44
点赞数 6
分类专栏： Android 文章标签： Android Selinux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wangjun7121/article/details/88221006
版权

前言

简单笔记

框架

基于老罗的相关博客简单介绍下框架吧： https://blog.csdn.net/Luoshengyang

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

内核空间

在这里插入图片描述

用户空间

在这里插入图片描述

流程

##########################################
# 相关文件介绍
##########################################


    device/qcom/sepolicy / common/device.te   ：定义设备相关的权限

    device/qcom/sepolicy / common/file.te     ：定义文件相关的权限 
    device/qcom/sepolicy / common/file_contexts ： 分类相应文件使用哪些权限，然后就会调用到同名的 xxx.te 文件

    device/qcom/sepolicy / common/genfs_contexts： 定义文件系统权限？

    device/qcom/sepolicy / common/service.te ： 定义 service 服务权限
    device/qcom/sepolicy / common/service_contexts ： 分类相应服务使用哪些权限

    device/qcom/sepolicy / msm8937/property.te ： 定义属性权限
    device/qcom/sepolicy / msm8937/property_contexts ： 分类相应属性使用什么权限

    ########################################
    # 具体进程权限：
    device/qcom/sepolicy / common/kernel.te ： 内核进程
    device/qcom/sepolicy / common/system_app.te ：系统 app 权限
    device/qcom/sepolicy / common/init.te ：init 进程权限
    device/qcom/sepolicy / msm8937/init_shell.te ： shell 进程？
    device/qcom/sepolicy / msm8937/platform_app.te ：平台 app 权限？
    device/qcom/sepolicy / common/untrusted_app.te ： 非平台签名的 apk 
    
    
##########################################
# 通用步骤：
##########################################
一、首先验证是否是 Selinux 权限相关问题
    在 eng 版本中使用：
        setenforce 0 
    临时关闭 selinux 后，再验证。(注：有时是权限问题，但也未必有效，这时可通过 log 确认)
    
二、抓取开机 log, 以内核搜索出如下关键字：
    E:\Kernel_Log\20180731-203625.kernel.txt (13 hits)
        [   26.660378] type=1400 audit(4308.789:13): avc: denied { module_load } for pid=1 comm="init" path="/lib/modules/texfat.ko" dev="rootfs" ino=5423 scontext=u:r:init:s0 tcontext=u:object_r:rootfs:s0 tclass=system permissive=0
        [   26.686817] type=1400 audit(4308.789:13): avc: denied { module_load } for pid=1 comm="init" path="/lib/modules/texfat.ko" dev="rootfs" ino=5423 scontext=u:r:init:s0 tcontext=u:object_r:rootfs:s0 tclass=system permissive=0
        [   26.686831] type=1400 audit(4308.809:14): avc: denied { module_load } for pid=1 comm="init" path="/lib/modules/tntfs.ko" dev="rootfs" ino=46 scontext=u:r:init:s0 tcontext=u:object_r:rootfs:s0 tclass=system permissive=0
        [   28.231490] type=1400 audit(4308.809:14): avc: denied { module_load } for pid=1 comm="init" path="/lib/modules/tntfs.ko" dev="rootfs" ino=46 scontext=u:r:init:s0 tcontext=u:object_r:rootfs:s0 tclass=system permissive=0
    
    参考示例添加：
        // [  342.204415] type=1400 audit(4504.179:161): avc: denied { search } for pid=5728 comm="unlockcheck" name="block" dev="tmpfs" ino=568 scontext=u:r:unlockcheck:s0 tcontext=u:object_r:block_device:s0 tclass=dir permissive=0
        //          scontext=u:r:unlockcheck:s0                 # 操作主体 unlockcheck ， 可通过 ls -Z  ps -Z 查看 
        //          tcontext=u:object_r:block_device:s0         # 操作客体 block_device
        //          tclass=dir permissive=0                     # 操作客体所属类别  dir ， 相关权限可通过执行相关权限目录酌情添加
        // allow unlockcheck block_device:dir { search getattr read write};    
    
三、重新编译安卓即可，需要更新 boot.img 和 system.img    

##########################################
# 给可执行文件添加权限：
##########################################
    给可执行程序添加权限：
        src\device\qcom\sepolicy\common\file_contexts
            # wangjun@wind-mobi.com 20180108 add unlock start
            /vendor/bin/unlockcheck u:object_r:unlockcheck_exec:s0
            # wangjun@wind-mobi.com 20180108 add unlock end
            
        
        # 新增的权限文件
        src\device\qcom\sepolicy\common\unlockcheck.te  
            # 以下几个是可执行程序必要的权限声明
            type unlockcheck ,domain;
            type unlockcheck_exec , file_type, vendor_file_type, exec_type;        
            init_daemon_domain(unlockcheck)

            # 以下权限是通过 kernel log 一条条添加的，报哪条添加哪条
            allow unlockcheck qdma_data_file:file create_file_perms;
            allow unlockcheck qdma_data_file:dir create_dir_perms;
            allow unlockcheck { proc sysfs }:file r_file_perms;
            allow unlockcheck { proc sysfs }:dir r_dir_perms;
            allow unlockcheck factory_data_file: file {read write open create getattr};
            allow unlockcheck factory_data_file: dir {search write read add_name};
            allow unlockcheck self:capability dac_override;
            allow unlockcheck diag_device:chr_file {read write open ioctl};

            // [  342.204415] type=1400 audit(4504.179:161): avc: denied { search } for pid=5728 comm="unlockcheck" name="block" dev="tmpfs" ino=568 scontext=u:r:unlockcheck:s0 tcontext=u:object_r:block_device:s0 tclass=dir permissive=0
            //          scontext=u:r:unlockcheck:s0                 # 操作主体 unlockcheck ， 可通过 ls -Z  ps -Z 查看 
            //          tcontext=u:object_r:block_device:s0         # 操作客体 block_device
            //          tclass=dir permissive=0                     # 操作客体所属类别  dir ， 相关权限可通过执行相关权限目录酌情添加
            allow unlockcheck block_device:dir { search getattr read write};
            allow unlockcheck proinfo_block_device:blk_file {open read write};
        
        
    重新编译安卓即可，需要更新 boot.img 和 system.img

    
##########################################
# 给新挂载分区及文件添加权限：
##########################################    
    # 定义文件权限
        device/qcom/sepolicy / common/device.te
            type xrom_block_device, dev_type;
        
        device/qcom/sepolicy / common/file.te
            type xrom_file, file_type;
        
        device/qcom/sepolicy / common/file_contexts
            /dev/block/platform/soc/7824900.sdhci/by-name/xrom                 u:object_r:xrom_block_device:s0
            /xrom(/.*)?            u:object_r:xrom_file:s0
    
    
    # 使用者添加使用权限：
        device/qcom/sepolicy / common/fsck.te
            allow fsck xrom_block_device:blk_file           { read open write ioctl };
        
        device/qcom/sepolicy / common/init.te
            # xrom
            allow init xrom_file:dir { mounton };
            allow init xrom_block_device:blk_file { write };
                
##########################################
# 给位于 dev 目录下的文件添加权限：
##########################################     
    # 定义权限 
        device/qcom/sepolicy / common/device.te
            type dvt_isdbt, dev_type;
    
        device/qcom/sepolicy / common/file_contexts
            /dev/isdbt				u:object_r:dvt_isdbt:s0

    # 添加使用者权限 
        device/qcom/sepolicy / common/system_app.te
            allow system_app dvt_isdbt:chr_file {read write ioctl open};



##########################################
# 新建的 proc 目录下文件添加权限：
##########################################
    # 分配权限 
        device/qcom/sepolicy / common/file.te
            type proc_gestures_file, fs_type;
            type proc_gestures_item_file, fs_type;
            
        device/qcom/sepolicy / common/genfs_contexts  # 这个路径为 /proc/android_touch/
            genfscon proc /android_touch/SMWP u:object_r:proc_gestures_file:s0
            genfscon proc /android_touch/GESTURE u:object_r:proc_gestures_item_file:s0

    # 使用权限
        device/qcom/sepolicy / common/system_app.te
            allow system_app proc_gestures_file:file rw_file_perms;
            allow system_app proc_gestures_item_file:file rw_file_perms;

        device/qcom/sepolicy / common/system_server.te
            allow system_server proc_gestures_file:file rw_file_perms;
            allow system_server proc_gestures_item_file:file rw_file_perms;



##########################################
# 新增文件系统，添加权限： texfat/tntfs 
##########################################
    device/qcom/sepolicy / common/file_contexts
        # Tuxera exFAT/NTFS
        # Must be placed at the very end of the file, after all of the AOSP entries!
        /system/bin/exfatck	--	u:object_r:fsck_exec:s0
        /system/bin/ntfsck	--	u:object_r:fsck_exec:s0
        /system/bin/exfatlabel  u:object_r:blkid_exec:s0
        /system/bin/exfatvsn    u:object_r:blkid_exec:s0

    device/qcom/sepolicy / common/genfs_contexts
        # Tuxera exFAT/NTFS labeled with the 'vfat' label since it will be used in the same context.
        genfscon texfat / u:object_r:vfat:s0
        genfscon tntfs / u:object_r:vfat:s0

    device/qcom/sepolicy / common/init.te
        allow init system_file:system module_load;


##########################################
# 修改文件系统路径 添加权限： texfat/tntfs 
##########################################        
    device\qcom\sepolicy\common\init.te    
        allow init rootfs:system module_load;
唯爱Linux
关注
  • 6
    点赞
  • 踩
  • 44
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
Android SeLinux 权限添加
Android
09-30 2747
SeLinux 权限添加 调试时，可以关闭selinux 权限 setenforce 0 搜索avc,如下： type=1400 audit(0.0:292): avc: denied { read write } for name=“ttyHSL2” dev=“tmpfs” ino=11380 scontext=u:r:system_app:s0 tcontext=u:object_r:device:s0 tclass=chr_file permissive=0 system_app 中 devic
SELinux权限
Kian_G 的博客
03-30 5732
SELinux权限 SELinux简介 SELinux是2.6版本Linux内核中提供的强制访问控制系统，selinux默认配置在/etc/sysconfig/selinux。 默认有三种级别 enforcing Linux下 selinux所设置的安全策略都会被启用.所有与selinux安全策略有关的服务或者程序都会被策略阻止.也就是，所有操作都会进行权限检查。 permissi...
selinux权限添加总结
风和先行的专栏
10-20 375
selinux修改方案总结
Android11.0添加selinux权限读取以太网mac地址
最新发布
zhaoyufei133的博客
07-03 295
意思是允许system app search sysfs_net所在的目录 ， sysfs_net就是节点/sys/class/net/eth0/address所在的域，使用命令ls -Z /sys/class/net/eth0/address。看起来是没有配置{ search}权限，可以在device/rockchip/common/sepolicy/vendor/system_app.te。编译固件烧录后，Setting就可以读取到Ethernet MAC Address了。
访问文件的SELinux权限添加
01-20
最近做了一个功能：设备首次驻网时，在设备指定目录创建文件，并在此文件中写入当前的时间，然后通过暗码可以读取这个时间 这个功能挺简单的，唯一比较麻烦的是添加SELinux权限时的一些问题，在此记录一下。 首先通过rc文件创建一个目录 init.rc mkdir /data/vendor/time_code 0771 radio radio 然后设备首次驻网时在此目录下创建txt文件，”/data/vendor/time_code/time_code.txt”，此时SELinux权限问题就来了，如下所示： 原创文章 53获赞 87访问量 2万+
添加selinux权限
weixin_47094059的博客
09-27 859
1.定义其他类型在 sepolicy目录下知道定义video_device类型的文件，定义一个其他类型（type开头是定义类型）2.与文件绑定在 sepolicy/file_contexts文件中找到/dev/video31，修改为定义的类型3.给予权限1.加上报的权限问题，在 system_app.te添加。
记一次selinux权限添加
chen_yuyunfox的专栏
11-09 3270
selinux权限的原理之前有看过，一知半解，基本也没有修改过相关代码， 这两天一次需求开发中临时需要添加一个selinux权限，大概咨询了下同事，自己搞了一下，居然一次成功了，记录下。 需求开发需要在system_server进程中调用SystemProperties.set("vendor.mtk.xxx")设置一个vendor.mtk开头的属性，不适配selinux权限的话会报错导致开不了机。 添加selinux权限的步骤： 1. 查看设备根目录的vendor_property_context.
android selinux权限添加
weixin_46027271的博客
01-15 2435
本文基于Android10版本举例介绍selinux的添加方法
selinux 权限分析添加
day_runrun的博客
12-09 1617
##SELinux 拥有三个基本的操作模式 Disabled：禁用SELinux策略 Permissive：在Permissive模式下，SELINUX有效，但是即使你违反了策略，它让你继续操作，但是把你的 违反的内容记录下来。在我们开发策略的时候非常的有用。相当于Debug模式。 Enforcing：当你违反了策略，你就无法继续操作下去。 sete...
安卓添加selinux权限怎么不影响cts问题
06-07
添加 SELinux 权限不应该影响 CTS 测试，但是需要按照以下步骤进行操作： 1. 确保你的设备处于 permissive 模式。可以通过执行以下命令来检查： ``` getenforce ``` 如果输出为 `Permissive`，则表示设备处于...
SeLinux权限配置心得总结
u013357557的专栏
02-20 4826
SeLinux权限配置心得总结 1、编译命令： make selinux_policy 或者 cd system/sepolicy mm 2、编译后生成策略文件的路径： 需要替换验证的文件，替换后要修改读写执行权限跟之前一样： out\target\product\platform\root\plat_* out\target\product\platform\root\nonplat_* out\target\product\platform\vendor\etc\selinux\precompile
APK启动bin相关selinux权限基于mtkandroid6.0平台.rar
07-30
APK启动过程中涉及的Selinux权限问题在Android系统中至关重要，尤其是在MediaTek（MTK）6.0平台上。Selinux（Security Enhanced Linux）是一种强制访问控制机制，它为Linux操作系统提供了一种强大的安全模型，旨在...
Android SELinux 权限问题处理
it_rensheng的博客
11-30 3189
前言 ​ SELinux 是 Google 从android 5.0 开始，强制引入的一种非常严格的管理机制，主要用于增强系统的安全性。SELinux有以下两种模式： enforcing mode: 限制访问 permissive mode: 只审查权限，不限制 1 确定 SELinux 问题 ​ 在调试过程中遇到权限问题时，可以通过如下方法，确定是不是由于 SELinux 导致的问题： 方法一： 通过串口或者adb使用如下命令，先将 selinux权限切换到审查模式： setenforce 0 （
Android 12 S 自定义Native服务selinux权限添加
weixin_41028555的博客
06-13 1024
节点在此目录添加定义：genfs_contexts。并且与system_server互相通信。native服务访问hal服务。
添加Selinux 权限/常见的Selinux 权限问题
一只攻城的柿子
07-07 7798
1. 概述 SELinux是Google从android 5.0开始，强制引入的一套非常严格的权限管理机制，主要用于增强系统的安全性。 然而，在开发中，我们经常会遇到由于SELinux造成的各种权限不足，即使拥有“万能的root权限”，也不能获取全部的权限。本文旨在结合具体案例，讲解如何根据log来快速解决90%的SELinux权限问题。 2. 调试确认SELinux问题 为了澄清是否因为SELinux导致的问题，临时禁用selinux ，重启失效，可先执行： C:\Users\A
Android 12 S 自定义Hal服务selinux权限添加
weixin_41028555的博客
06-13 2305
如果遇到如下错误，应该是漏了添加。自定义hal服务添加可参考。
快速添加Android seLinux权限
lzz214的博客
01-26 340
根据日志快速添加Android seLinux权限
Selinux权限配置详解
秦逸轩的博客
07-15 1643
基础知识都已经学习完了，但是还不知道怎么样，下面从不同的场景，实现了几个例子，可以参考学习一下。 对于 /extern/sepolicy 的修改如下方法编译： 不过对于 MTK 的 Android 系统，不建议修改 external/sepolicy，而是修改 device/mediatek/common/sepolicy，在 plicy 目录下，make relabel 可更新或创建标识映射。 情景：定义一个 init 启动的 service --- demo_s
Android Selinux介绍，如何添加selinux 权限
yinhunzw的专栏
11-14 9088
文件类： type=1400 audit(0.0:104avc: denied { search } for name="vendor" dev="tmpfs" ino=9241 scontext=u:r:dumpstate:s0 tcontext=u:object_r:mnt_vendor_file:s0 tclass=dir permissive=0 分析： 缺少的权限：{write/read/search} 谁缺少权限：scontext=u:r:dumpstate:s0 哪个文件的权限：t.
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值