修改 SELinux 模式的步骤

怀化纱厂球迷

已于 2024-12-27 14:09:41 修改

阅读量1.2k

点赞数 15

文章标签： android

于 2024-12-16 17:34:16 首次发布

本文链接：https://blog.csdn.net/yangbin0513/article/details/144513980

版权

SELinux（Security-Enhanced Linux）是一个安全模块，提供了强制访问控制（MAC）机制，用于增强 Android 系统的安全性。通过 ADB，你可以修改设备的 SELinux 模式，但这种操作通常需要设备已解锁并启用 root 权限。

修改 SELinux 模式的步骤

连接设备
- 确保你的 Android 设备已通过 USB 或 Wi-Fi 连接到电脑，并且已启用 USB 调试模式。
- 打开终端或命令提示符，输入以下命令以确保设备已连接：
```
adb devices
```
  如果设备已正确连接，你会看到设备的序列号。
检查当前 SELinux 模式
- 输入以下命令以查看当前的 SELinux 模式：
```
adb shell getenforce
```
  可能的返回值包括：
  - Enforcing：SELinux 正在强制执行安全策略。
  - Permissive：SELinux 正在记录安全策略违规，但不强制执行。
  - Disabled：SELinux 完全禁用。
修改 SELinux 模式
- 如果你有权限，可以通过以下命令修改 SELinux 模式：
  - 设置为 Permissive 模式：
```
adb shell setenforce 0
```
  - 设置为 Enforcing 模式：
```
adb shell setenforce 1
```
  注意：这些命令只会临时改变 SELinux 模式，设备重启后会恢复到默认设置。如果需要永久修改，你需要修改设备的系统文件，但这通常需要 root 权限，并且可能会涉及风险。
永久修改 SELinux 模式（需 Root）
- 如果你需要永久修改 SELinux 模式，可以通过编辑 /sys/fs/selinux/enforce 文件来实现：
```
adb shell su -c 'echo 0 > /sys/fs/selinux/enforce'  # 设置为 Permissive
adb shell su -c 'echo 1 > /sys/fs/selinux/enforce'  # 设置为 Enforcing
```
  这需要设备已 root，并且这种方法可能会影响设备的安全性，因此请谨慎操作。

方法1: adb在线修改seLinux

Enforcing(表示已打开)，Permissive（表示已关闭）

 getenforce;  //获取当前seLinux状态
    setenforce 1;   //打开seLinux
    setenforce 0;   //关闭seLinux

方法2: 从kernel中彻底关闭

修改LINUX/android/kernel/arch/arm64/configs/xxx_defconfig文件（xxx一般为手机产品名），去掉CONFIG_SECURITY_SELINUX=y 的配置项

方法3: sepolicy中添加权限

修改依据，通过指令cat /proc/kmsg | grep denied，或者kernel的Log中定位到标志性log。

修改步骤

找相应的源类型.te文件，此文件可能的存放路径 (其中源类型见下方的标志性log格式) ：
```
  LINUX/android/external/sepolicy
  LINUX/android/device/qcom/sepolicy/common
```

标志性log 格式

  avc: denied  { 操作权限  }  for pid=7201  comm=“进程名”  scontext=u:r:源类型:s0  tcontext=u:r:目标类型:s0  tclass=访问类型 permissive=0

在相应源类型.te文件，添加如下格式的一行语句：(结尾别忘了分号)
```
  格式：allow  源类型 目标类型:访问类型 {操作权限};
```

实例

Kernel Log

  avc: denied {getattr read} for pid=7201 comm="xxx.xxx" scontext=u:r:system_app:s0 tcontext=u:r:shell_data_file:s0 tclass=dir permissive=0

修改方案

  在system_app.te文件中，添加下面语句：
  allow system_app shell_data_file:dir{getattr read};