Android Sepolicy 相关工具

文章参考 Android 9.0 源码,以翻译为主,留做备用参考。
Sepolicy 工具位于 system/sepolicy/tools/

build_policies.sh

为多个目标并行构建SELinux策略的工具。这对于在多个目标上快速闫增新的测试或Neveralow规则很有用。

用法:

./build_policies.sh ~/android/master ~/tmp/build_policies
./build_policies.sh ~/android/master ~/tmp/build_policies sailfish-eng walleye-eng

checkfc

用于检查 file_contexts 或 property_contexts 配置文件有效性的工具。policy build 过程中包含以上两个文件的验证。检查 file_contexts 或 property_contexts 文件中安全上下文的有效性时,需要使用 sepolicy 文件作为参数。

用法1:

checkfc sepolicy file_contexts
checkfc -p sepolicy property_context

也可以用于比较两个 file_contexts 或 file_contexts.bin 文件。输出结果显示为 subset、equal、superset或incomparable 其中之一.

用法2:

checkfc -c file_contexts1 file_contexts2
举例:
$checkfc-c out/target/product/shamu/system/etc/general_file_contexts out/target/product/shamu/root/file_contexts.bin
subset

checkseapp

用于合并主 seapp_contexts 配置和特定设备配置的工具,同时检查配置的有效性。被用作 policy build 过程的一部分,用来合并和验证配置。

用法:

checkseapp -p sepolicy input_seapp_contexts0 [input_seapp_contexts1...] -o seapp_contexts

insertkeys.py

一个辅助脚本,用于将 mac_permissions.xml 中签名段的标记映射到 pem 文件中的公钥。这个脚本将在sepolicy/README中进一步描述。

post_process_mac_perms

该工具用于帮助修改现有的 MaqPyExist.xml,添加当前策略中不存在的附加的应用程序证书。该工具在搜索应用程序目录,并将这些应用程序中的证书添加到尚未显式列出的策略时非常有用。

用法:

post_process_mac_perms [-h] -s SEINFO -d DIR -f POLICY

-s SEINFO, --seinfo SEINFO seinfo tag for each generated stanza
-d DIR, --dir DIR Directory to search for apks
-f POLICY, --file POLICY mac_permissions.xml policy file

sepolicy-check

该工具用于审核 sepolicy 文件中任何赋予权限的允许规则。

用法:

sepolicy-check -s -t -c -p -P out/target/product//root/sepolicy

sepolicy-analyze

用于对 sepolicy 文件执行各种分析的组件化工具。当前支持的分析类型包括:

TYPE EQUIVALENCE (typecmp)

sepolicy-analyze out/target/product//root/sepolicy typecmp -e

显示"equivalent"的所有类型对,即它们的允许规则相同,包括通过属性的间接允许规则和默认启用的条件规则(即默认布尔值生成的真正条件表达式)。

等价类型是合并为单个类型的备选。但是,可能有正当理由使它们保持独立,例如:

  • 类型可能在当前分析中以外方面不同,例如默认禁用的条件规则、审核相关规则(auditallow或dontaudit)、默认类型转换或约束(例如mls)。
  • 当前策略可能对于一个或另一个类型过于宽松,因此正确的操作可能是加强对一个或另一个类型的访问,而不是将它们合并在一起。
  • 实际上对这些类型具有不同访问权限的域可能尚未定义,或者可能未在您分析的策略中定义。

TYPE DIFFERENCE (typecmp)

sepolicy-analyze out/target/product//root/sepolicy typecmp -d

显示不同的类型对,以及在两种类型之间发现的第一个差异。这可用于查找不相同,但可以作为合并备选的相似类型。

DUPLICATE ALLOW RULES (dups)

sepolicy-analyze out/target/product//root/sepolicy dups

显示重复的允许规则,即授予相同权限的允许规则对,其中一个允许规则直接依据独立类型写入,另一个则依据相同类型关联的属性写入。具有独立类型的规则是要删除的候选规则。具有独立类型的规则可以在源策略中直接表示,也可以是类型否定扩展的结果(例如,策略编译器将域'-foo' '-bar'扩展为独立允许规则)。具有unconfineddomain的域通常会有重复的规则,如自然的副作用,并且可以忽略。

PERMISSIVE DOMAINS (permissive)

sepolicy-analyze out/target/product//root/sepolicy permissive

显示策略中允许的域,即avc拒绝被记录,但不对这些域强制。虽然允许域在开发过程中会有帮助,但它们不应该出现在最终用户版本中。

BOOLEANS (booleans)

sepolicy-analyze out/target/product//root/sepolicy booleans

显示策略中的布尔名称(如果有)。Android策略中禁止使用布尔值,因此如果有任何输出,该策略将使CTS失败。

ATTRIBUTE (attribute)

sepolicy-analyze out/target/product//root/sepolicy attribute

显示与指定属性名关联的类型。

sepolicy-analyze out/target/product//root/sepolicy attribute -r

显示与指定类型名关联的属性。

sepolicy-analyze out/target/product//root/sepolicy attribute -l

显示策略中的所有属性。

NEVERALLOW CHECKING (neverallow)

sepolicy-analyze out/target/product//root/sepolicy neverallow [-w] [-d] [-f neverallows.conf] | [-n "neverallow string"]

检查 sepolicy 文件是否违反 neveralow.conf 文件或指定字符串的 neveralow 规则,字符串应包含与 SELinux policy.conf 文件格式相同的 neveralow 语句,即在从 .te 文件中对规则进行 m4 宏扩展之后。您可以使用整个 policy.conf 文件作为 neverallows.conf 文件,sepolicy analyze 将忽略除其中的 neverallows 之外的所有内容。还可以将其指定为命令行字符串参数,这对于快速检查单个展开的规则或规则组很有用。如果没有违反,sepolicy-analyze 将成功退出,没有输出。否则,sepolicy-analyze 将报告所有违规行为,并以非零退出状态退出。

'-w'或'--warn'选项可用于警告 neveralow 规则中无法在 sepolicy 文件中解析的任何types、attributes、classes 或 permissions。这可能是正常的,因为从中获取 neverallow 规则的策略与正在检查的策略之间存在差异。这些值将被忽略,以供以后进行检查。

'-d'或'--debug'选项可用于使 sepolicy analyze 在解析 neveralow 规则时输出这些规则。这主要是解析器的一个调试工具,但也可以用于从完整的 policy.conf 文件中提取 neverallow 规则,并以更容易解析的格式输出它们。

你可能感兴趣的:(android)