SELinux 的基本介绍及用法

SELinux 的基本介绍及用法

安全增强型 Linux（Security-Enhanced Linux）简称 SELinux，它是一个 Linux 内核模块，也是 Linux 的一个安全子系统 

SELinux 主要作用就是最大限度地减小系统中服务进程可访问的资源（最小权限原则）。

---

---

进行实验时首先 
[root@localhost ~]# rm -rf /etc/vsftpd/ 
[root@localhost ~]# yum reinstall vsftpd.x86_64 -y                                                      ###   安装 vsftpd 
[root@localhost ~]# systemctl start vsftpd                                                                     ###  打开 vsftpd 
[root@localhost ~]# systemctl stop firewalld                                                                 ###   关闭防火墙 
[root@localhost ~]# systemctl enable vsftpd                                                                  ###  允许自启 

[root@localhost ~]# systemctl disable firewalld                                                              ### 火墙不自启

安全上下文是 SELinux 的核心 
安全上下文可分为「进程安全上下文」和「文件安全上下文」。 
只有两者的安全上下文对应上了，进程才能访问文件。 
文件安全上下文由文件创建的位置和创建文件的进程所决定。而且系统有一套默认值，用户也可以对默认值进行设定。 
单纯的移动文件操作并不会改变文件的安全上下文。（移动只是重命名） 
安全上下文有四个字段，分别用冒号隔开

[root@localhost ~]# touch /mnt/westos1               ### 在/mnt/下建立文件westos

[root@localhost ~]# rm -rf /var/ftp/*                        ### 为方便观察，清空/var/ftp/

 

[root@localhost ~]# mv /mnt/westos1 /var/ftp/          ###将/mnt/westos1 移动到/var/ftp/

[root@localhost ~]# lftp 172.25.254.236             ###连接后发现没有可显示的文件     

lftp 172.25.254.236:~> ls              

lftp 172.25.254.236:/> quit

 

[root@localhost ~]# cd /var/ftp/                      ####但ftp的根目录里有westos1文件

[root@localhost ftp]# ls

westos1

[root@localhost ftp]# touch file1                    ### 在/var/ftp/建立文件（非移动来的）

[root@localhost ftp]# ls                        

file1  westos1

 

[root@localhost ftp]# ll                              ### 虽然/var/ftp/里有两个文件

total 0                                        

-rw-r--r--. 1 root root 0 May 11 21:22 file1

-rw-r--r--. 1 root root 0 May 11 21:20 westos1           

[root@localhost ftp]# lftp 172.25.254.236

lftp 172.25.254.236:~> ls                              ###但连接查看只会看见一个文件

-rw-r--r--    1 0        0               0 May 12 01:22 file1

lftp 172.25.254.236:/> quit

 

ls -Z查询文件或目录的安全上下文

命令基本用法

ls -Z

安全上下文

例如system_u:object_r:public_content_t:s0

       用户      ：角色：类型：级别

[root@localhost ftp]# ls -Z                    ###查看file1与westos1上下文信息有何不同

-rw-r--r--. root root unconfined_u:object_r:public_content_t:s0 file1

-rw-r--r--. root root unconfined_u:object_r:mnt_t:s0   westos1

把文件或目录的安全上下文恢复到默认值

命令基本用法

restorecon [选项] [...]

选项功能 - v 打印操作过程 - R 递归操作

[root@localhost ftp]# semanage fcontext -l | grep /var/ftp         ####查询selinux默认目录的

                                                                                                           安全上下文         

/var/ftp(/.*)?                                     all files          system_u:object_r:public_content_t:s0

[root@localhost ftp]# ls

file1  westos1

[root@localhost ftp]# ll

total 0

-rw-r--r--. 1 root root 0 May 11 21:22 file1

-rw-r--r--. 1 root root 0 May 11 21:20 westos1

 chcon 命令: 修改对象 (文件) 的安全上下文

chcon [...]

选项功能 - u 修改安全上下文的用户字段 - r 修改安全上下文的角色字段 - t 修改安全上下文的类型字段 - l 修改安全上下文的级别字段 --reference 修改与指定文件或目录相一致的安全上下文 - R 递归操作 - h 修改软链接的安全上下文（不加此选项则修改软链接对应文件）

[root@localhost ftp]# chcon -t public_content_t westos1            ####临时更改安全上下文

[root@localhost ftp]# ls -Z                                           ######查看file1与westos1上下文信息有何不同

 

-rw-r--r--. root root unconfined_u:object_r:public_content_t:s0 file1

-rw-r--r--. root root unconfined_u:object_r:public_content_t:s0 westos1

 

[root@localhost ftp]# lftp 172.25.254.236       ### 上下文信息更改后，都可显示

lftp 172.25.254.236:~> ls

-rw-r--r--    1 0        0               0 May 12 01:22 file1

-rw-r--r--    1 0        0               0 May 12 01:20 westos1

lftp 172.25.254.236:/>

 

 

 

 

 

[root@localhost ~]# mkdir /westos/

[root@localhost ~]# touch /westos/westosfile           ### 建立目录/westos/westosfile作

                                                                                   为家目录

[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf                      ###更改本地用户家目录

[root@localhost ~]# systemctl restart vsftpd.service 

[root@localhost ~]# lftp 172.25.254.236

lftp 172.25.254.236:~> ls                       ###无法查看

lftp 172.25.254.236:/> quit

 

 SELinux 有三种工作模式，分别是： 
1. enforcing：强制模式。违反 SELinux 规则的行为将被阻止并记录到日志中。 
2. permissive：宽容模式。违反 SELinux 规则的行为只会记录到日志中。一般为调试用。 
3. disabled：关闭 SELinux。 
SELinux 工作模式可以在 /etc/selinux/config 中设定。 
如果想从 disabled 切换到 enforcing 或者 permissive 的话，需要重启系统。反过来也一样。 
enforcing 和 permissive 模式可以通过 setenforce 1|0 命令快速切换

[root@localhost ~]# setenforce 0                      ###selinux设置为警告模式

[root@localhost ~]# lftp 172.25.254.236

lftp 172.25.254.236:~> ls                             ###再次连接可以看到目录

-rw-r--r--    1 0        0               0 May 12 02:02 westosfile

lftp 172.25.254.236:/> quit

 

 

[root@localhost ~]# chcon -t public_content_t /westos -R      ###临时更改/westos安全上下

                                                                                                 为文public_content_t

[root@localhost ~]# ls -Z /westos/                          ### 查看/westos/安全上下文

-rw-r--r--. root root unconfined_u:object_r:public_content_t:s0 westosfile     ###显示已更改

 

 

以下几步实际上是做了selinux的重启工作

[root@localhost ~]# vim /etc/sysconfig/selinux                ###设置selinux为Disabled

                                                                                                     然后重启

 

[root@localhost ~]# reboot

[root@localhost ~]# getenforce

Disabled

[root@localhost ~]# vim /etc/sysconfig/selinux                 ###设置selinux为打开

[root@localhost ~]# reboot

 

[root@localhost ~]# ls -Zd /westos/                      此时再查看/westos/的安全上  

                                                                                 下文，已经从unconfined_u:object_r:public_content_t:s0

                                                                               自动变为unconfined_u:object_r:default_t:s0

drwxr-xr-x. root root unconfined_u:object_r:default_t:s0 /westos/

 

 

[root@localhost ~]# ls -Zd /var/ftp/                             ###而/ftp/根目录则没有改变

drwxr-xr-x. root root system_u:object_r:public_content_t:s0 /var/ftp/

 

 

[root@localhost ~]# semanage fcontext -l | grep /var/ftp          ###查询selinux中/var/ftp此目录

                                                                                                      默认的安全上下文

/var/ftp(/.*)?                                     all files          system_u:object_r:public_content_t:s0            

               默认安全上下文为system_u:object_r:public_content_t:s0

 

 

[root@localhost ~]# semanage fcontext -l | grep /westos             ###查询selinux中/westos此目录

                                                                                                       默认的安全上下文，但无显示

 

 

 

添加目录的默认安全上下文

命令基本用法

semanage fcontext -a -t 安全上下文   /目录 "(/.*)?"

注：目录或文件的默认安全上下文可以通过 semanage fcontext -l 命令配合 grep 过滤查看

[root@localhost ~]# semanage fcontext -a -t public_content_t '/westos(/.*)?'

添加/westos目录及目录下的所以文件的默认安全上下文类型为public_content_t

/westos(/.*)?===/westos/*===/westos/*/*/*........

任意匹配

[root@localhost ~]# semanage fcontext -l | grep /westos    查询selinux中/westos此目录

                                                      默认的安全上下文

/westos(/.*)?                                      all files          system_u:object_r:public_content_t:s0      默认安全上下文类型更改为public_content_t

restorecon 命令用来恢复 SELinux 文件属性即恢复文件的安全上下文 

restorecon [-iFnrRv] [-e excludedir] [-o filename] [-f filename | pathname...]

选项

-i：忽略不存在的文件。 -f：infilename 文件 infilename 中记录要处理的文件。 -e：directory 排除目录。 -R/-r：递归处理目录。 -n：不改变文件标签。 -o/outfilename：保存文件列表到 outfilename，在文件不正确情况下。 -v：将过程显示到屏幕上。 -F：强制恢复文件安全语境

[root@localhost ~]# restorecon -FvvR /westos/        ####  恢复/westos/文件的安全上下文，强制恢复且递归处理目录，并显示

                                                                                    restorecon reset /westos context

unconfined_u:object_r:default_t:s0->system_u:object_r:public_content_t:s0

Restorecon reset /westos/westosfile context

unconfined_u:object_r:default_t:s0->system_u:object_r:public_content_t:s0

 

[root@localhost ~]# lftp 172.25.254.236                                ###链接查看此目录是否能显示（安全上下文是否更改）

lftp 172.25.254.236:~> ls

-rw-r--r--    1 0        0               0 May 12 02:02 westosfile

lftp 172.25.254.236:/> quit

SELinux的开关作用实验

[root@localhost ~]# passwd student                    ####实验之前先确保student密码正确

 

[root@localhost ~]# lftp 172.25.254.236 -u student              ####本地用户连接但无法正常上传

Password:

lftp [email protected]:~> put /etc/passwd   

put: Access failed: 553 Could not create file. (passwd)      

 

[root@localhost ~]# ll -d /home/student/                              #####排错思路，先看是否为家目录权限受限

drwx------. 4 student student 4096 May  5 23:01 /home/student/                         权限正常

 

[root@localhost ~]# setenforce 0                                          ###将selinux快速设置为警告模式再次尝试

 [root@localhost ~]# lftp 172.25.254.236 -u student                  ####再次连接可正常上传

Password:

lftp [email protected]:~> ls      

-rw-------    1 1000     1000         2083 May 06 03:01 passwd

lftp [email protected]:~> put /etc/passwd

2128 bytes transferred                                           

 

[root@localhost ~]# setenforce 1                                          设为强制模式并查看selinux权限（开关）

[root@localhost ~]# getsebool -a | grep ftp

ftp_home_dir --> off                                                                      可见ftp_home_dir此开关为关

 

[root@localhost ~]# lftp 172.25.254.236 -u student                                       本地用户连接为无法上传

[root@localhost ~]# setsebool -P ftp_home_dir on                                                        将开关设为打开

[root@localhost ~]# lftp 172.25.254.236 -u student                                                    本地用户可以上传

[root@localhost ~]# getsebool -a | grep ftp

ftp_home_dir --> on

 

可见SELinux开关作用

 

[root@localhost ftp]# vim /etc/vsftpd/vsftpd.conf                                            将ftp服务家目录改过来

[root@localhost ftp]# systemctl restart vsftpd.service

                   清空/var/ftp/在建立/mnt/westos并将此文件移动到 /var/ftp/，清空服务日志

 认识 SELinux 日志

当开启了 SELinux 之后，很多服务的一些正常行为都会被视为违规行为（标题及下文中的错误均指违规行为）。

这时候我们就需要借助 SELinux 违规日志来分析解决。

SELinux 违规日志保存在 /var/log/audit/audit.log 中

用浏览器打开ftp://172.25.254.xxx

查看日志，已生成

日志提供解决方案restorecon -v  ‘需修复目录文件’

[root@localhost ftp]# restorecon -v /var/ftp/*                                         用日志提供解决方案修复/var/ftp/*   

restorecon reset /var/ftp/westos context unconfined_u:object_r:mnt_t:s0->

unconfined_u:object_r:public_content_t:s0

已修复，且用浏览器可查看

 该文件的内容很多，而且混有很多与 SELinux 错误无关的系统审计日志。我们要借助 sealert 这个实用工具来帮忙分析（如果提示找不到命令的话请安装 setroubleshoot 软件包

[root@localhost ftp]# rpm -qa | grep setrouble

setroubleshoot-server-3.2.17-2.el7.x86_64

  [root@localhost ftp]# > /var/log/messages                              清空违规日志

[root@localhost ftp]# > /var/log/audit/audit.log

 

清空/var/ftp/在建立/mnt/westos1并将此文件移动到 /var/ftp/

 [root@localhost ftp]# yum install setroubleshoot-server.x86_64 -y                   安装setroubleshoot 软件包

[root@localhost ftp]# cat /var/log/messages                                                            

 

 

 给HTTP配置端口

安装阿帕奇

[root@localhost ~]# yum install httpd -y

[root@localhost ~]# cat /etc/services | grep http                                 查看HTTP服务端口信息

http            80/tcp          www www-http    # WorldWideWeb HTTP

 

[root@localhost ~]# vim /etc/httpd/conf/httpd.conf            修改端口为6666

添加某类进程允许访问的端口

命令基本用法

semanage port -a -t -p

注：各种服务类型所允许的端口号可以通过 semanage port -l 命令配合 grep 过滤查看。

[root@localhost ~]# semanage port -a -t http_port_t -p tcp 6666                   增加tcp端口为6666

[root@localhost ~]# semanage port -l | grep http

http_cache_port_t              tcp      8080, 8118, 8123, 10001-10010

http_cache_port_t              udp      3130

http_port_t                    tcp      6666, 80, 81, 443, 488, 8008, 8009, 8443, 9000

pegasus_http_port_t            tcp      5988

pegasus_https_port_t           tcp      5989