SELinux查看策略规则的方法有哪些_网络技术_宿州市腾雀网络科技有限公司

SELinux查看策略规则的方法有哪些

发布时间 - 2023-03-02 00:00:00 点击率：次

SELinux查看策略规则的方法：1、使用seinfo命令，查询SELinux的策略提供多少相关规则，一个主体进程能否读取到目标文件资源的重点是在于SELinux的策略以及策略内的各项规则，语法“seinfo [选项]”；2、使用sesearch命令，可查询SELinux策略规则的具体内容，语法“sesearch [选项] [规则类型] [表达式]”。

本教程操作环境：linux7.3系统、Dell G3电脑。

SELinux策略规则查看方法有两个：seinfo和sesearch。

当前 SELinux 的默认策略是 targeted，那么这个策略中到底包含有多少个规则呢？使用 seinfo 命令即可查询。

seinfo命令是用来查询SELinux的策略提供多少相关规则，一个主体进程能否读取到目标文件资源的重点是在于SELinux的策略以及策略内的各项规则，然后再通过该规则的定义去处理各项目标文件的安全上下文，尤其是“类型”部分。

sesearch 命令格式如下：

seinfo [选项]

常用选项：

-a	列出SELinux的状态、规则布尔值、身份识别、角色、类型等所有信息
-t	列出SELinux所有类型(type)的种类
-r	列出SELinux所有角色(role)的种类
-u	列出SELinux所有身份识别(user)的种类
-b	列出所有规则的种类（布尔值）

参考实例：

[root@localhost ~]# seinfo -b
#还记得-b选项吗？就是查询布尔值，也就是查询规则名字
Conditional Booleans：187
#当前系统中有187个规则
allow_domain_fd_use
allow_ftpd_full_access
allow_sysadm_exec_content
allow_user_exec_content
allow_zebra_write_config
…省略部分输出…

seinfo 命令只能看到所有规则的名称，如果想要知道规则的具体内容，就需要使用 sesearch 命令了。

sesearch 命令格式如下：

sesearch [选项] [规则类型] [表达式]

选项：

-h：显示帮助信息；

规则类型：

--allow：显示允许的规则；
--neverallow：显示从不允许的规则；
--all：显示所有的规则；

表达式：

-s 主体类型：显示和指定主体的类型相关的规则（主体是访问的发起者，这个 s 是 source 的意思，也就是源类型）；
-t 目标类型：显示和指定目标的类型相关的规则（目标是被访问者，这个 t 是 target 的意思，也就是目标类型）；
-b 规则名：显示规则的具体内容（b 是 bool，也就是布尔值的意思，这里是指规则名）；

下面举几个例子。首先我们演示一下，如果我们知道的是规则的名称，则应该如何查询具体的规则内容。命令如下：

[root@localhost ~]# seinfo -b | grep http
httpd_manage_ipa
…省略部分输出…
#查询和apache相关的规则，有httpd_manage_ipa规则
[root@localhost ~]# sesearch --all -b httpd_manage_ipa
# httpd_manage_ipa规则中具体定义了哪些规则内容呢？使用sesearch命令查询一下
Found 4 semantic*rules：
allow httpd_t var_run_t：dir { getattr search open } ;
allow httpd_t memcached_var_run_t：file { ioctl read write create getattr setattr lock append unlink link rename open } ;
allow httpd_t memcached_var_run_t：dir { ioctl read write getattr lock add_name remove_name search open } ;
allow httpd_t var_t：dir { getattr search open } ;
Found 20 role allow rules：
allow system_r sysadm_r;
allow sysadm_r system_r;
…省略部分输出…

每个规则中都定义了大量的具体规则内容，这些内容比较复杂，一般不需要修改，会查询即可。

可是我们有时知道的是安全上下文的类型，而不是规则的名称。比如，我们已知 apache 进程的域是 httpd_t，而 /var/www/html/ 目录的类型是 httpd_sys_content_t。而 apache 之所以可以访问 /var/www/html/ 目录，是因为 httpd_t 域和 httpd_sys_content_t 类型匹配。

那么，该如何查询这两个类型匹配的规则呢？命令如下：

[root@localhost ~]# ps auxZ | grep httpd
unconfined_u:system_r:httpd_t:s0 root 25620 0.0 0.5 11188 36X6 ? Ss
03:44 0:03 /usr/sbin/httpd
#apache进程的域是httpd_t
[root@localhost ~]# ls -Zd /var/www/html/
drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 /var/www/html/
#/var/www/html/ 目录的类型是 httpd_sys_content_t
[root@localhost ~]# sesearch --all -s httpd_t -t httpd_sys_content_t Found 13 semantic*rules:
...省略部分输出...
allow httpd_t httpd_sys_content_t : file { ioctl read getattr lock open };
allow httpd_t httpd_sys_content_t : dir { ioctl read getattr lock search open };
allow httpd_t httpd_sys_content_t : lnk_file { read getattr };
allow httpd_t httpd_sys_content_t : file { ioctl read getattr lock open };
...省略部分输出...
#可以清楚地看到httpd_t域是允许访间和使用httpd_sys_content_t类型的

相关推荐：《Linux视频教程》

# linux # html # bool # var # apache # 的是 # 具体内容 # 布尔值 # 该如何 # 几个 # 是因为 # 尤其是 # 不需要 # 重点是 # 是指

相关栏目：【网站优化151355 】【网络推广146373 】【网络技术251813 】【 AI营销90571 】

上一篇：如何在 Vue.js 中实现链接点击节流（1500ms 防重

下一篇：ie浏览器视频无法播放怎么办 ie浏览器视频修复教程

相关栏目网站优化
网络推广
网络技术
AI营销

最新文章 Sublime怎么一键压缩JS代码 Su sublime如何在搜索中使用正则表达式 Sublime如何设置透明窗口效果 Su mysql如何设计商品表结构_mysql css属性背景图不显示怎么办_通过检查路如何使用Golang实现排序_Golan 农历闰月是怎么回事_为合回归年加一月调整塑造《刺客信条》艾吉奥传奇的编剧离开育碧 1英里等于多少公里 1mile和km的换 css grid布局中行和列是如何定义的 PS批量旋转和翻转图片，快速校正图片方向 C# Swagger UI自定义方法 C OPPO手机九宫格和全键盘怎么切换_OP Go语言如何实现用户登录注册_Golan 1节飞行速度多少公里每小时 1节是多少公纸嫁衣8千子树第五章庙门怎么开启庙门 Laravel 多行数据编辑表单中实现逐明日之后如何提升钓鱼等级明日之后提升钓支付宝怎样查年度账单_支付宝年度账单查看 C# 多线程UI更新Dispatcher

上一篇：如何在 Vue.js 中实现链接点击节流（1500ms 防重

下一篇：ie浏览器视频无法播放怎么办 ie浏览器视频修复教程