当前位置：首页 > news >正文

RHCE第七章：SElinux

news 来源：原创 2025/4/30 7:59:58

一、SElinux

SELinux 是一套安全策略系统

1.作用：

（1）SELinux 域限制：对服务程序的功能进行限制，以确保服务程序做不了出格的事

（2）SELinux 安全上下文：对文件资源的访问限制，确保文件资源只能被其所属的服务程序访问

2.配置文件

[root@Server ~]# vim /etc/selinux/config #查看/编辑SELinux的配置文件
3 # SELINUX= can take one of these three values:
4 # enforcing - SELinux security policy is enforced. #SELinux安全策略强制执行，强制模式
5 # permissive - SELinux prints warnings instead of enforcing. #宽松模式，日志模式
6 # disabled - No SELinux policy is loaded. #禁用模式
22 SELINUX=enforcing #SELinux的启动模式类型
23 # SELINUXTYPE= can take one of these three values:
24 # targeted - Targeted processes are protected, #默认策略，用于限制网络服务
25 # minimum - Modification of targeted policy. Only selected processes are protected.
26 # mls - Multi Level Security protection. #多级安全网络策略，限制更严格
27 SELINUXTYPE=targeted #策略类型

[root@Server ~]# ll /etc/selinux/config /etc/sysconfig/selinux
-rw-r--r--. 1 root root 1263 3月 20 21:52 /etc/selinux/config
lrwxrwxrwx. 1 root root 17 3月 20 21:52 /etc/sysconfig/selinux -> ../selinux/config #/etc/sysconfig/selinux 和 /etc/selinux/config 指向同一个配置文件，/etc/sysconfig/selinux 是 /etc/selinux/config 的软链接

3.安全上下文（Security Context）

所有进程、文件和目录都有自己的安全上下文

进程能否访问文件或目录，要与其安全上下文是否能匹配

[root@Server ~]# dnf install selinux-policy -y #安装SELinux策略

4.永久修改SELinux的模式

[root@Server ~]# vim /etc/selinux/config
22 SELINUX=permissive #修改为宽松模式

[root@Server ~]# touch /.autorelabel #让SELinux根据策略信息重建系统安全上下文

[root@Server ~]# reboot #reboot——重启，poweroff——关机

5.查看安全上下文

[root@Server ~]# ls -Z anaconda-ks.cfg #ls——查看文件，-Z——查看安全上下文
system_u:object_r:admin_home_t:s0 anaconda-ks.cfg

#用户：system_u系统用户身份；unconfined_u未联系的用户身份

#角色：object_r表示文件或目录；system_r表示进程

#admin_home_t表示该文件/目录/进程所使用的策略规则（策略规则有很多，不用记）

#安全级别：s0（数字越小，安全级别越低）

[root@Server ~]# ps -ef |grep ssh #ps——查看进程；查看ssh的进程
root 2241 1050 0 15:41 ? 00:00:00 sshd: root [priv]
root 2249 1050 0 15:41 ? 00:00:00 sshd: root [priv]
······
[root@Server ~]# ps aux |grep ssh #查看ssh的进程
root 2241 0.0 0.3 19336 12428 ? Ss 15:41 0:00 sshd: root [priv]
root 2249 0.0 0.3 19304 12476 ? Ss 15:41 0:00 sshd: root [priv]
······
[root@Server ~]# ps auZ |grep ssh #auZ——查看安全上下文；查看ssh进程的安全上下文
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 root 2360 0.0 0.0 221680 2360 pts/0 S+ 15:45 0:00 grep --color=auto ssh

[root@Server ~]# dnf install setools-console -y #安装seinfo服务，用于查看进程信息

[root@Server ~]# seinfo -u #查看SELinux的用户信息

Users: 8
root
unconfined_u
user_u
······

[root@Server ~]# seinfo -r #查看SELinux的角色信息

Roles: 15
auditadm_r
unconfined_r
user_r
······
[root@Server ~]# seinfo -t |grep ssh #查看ssh的策略类型
NetworkManager_ssh_t
sge_job_ssh_t
ssh_agent_exec_t
······

二、修改安全上下文

[root@Server ~]# vim /etc/nginx/nginx.conf
         38 server {
         39 listen 80;
         40 listen [::]:80;
         41 server_name _;
         42 root /usr/share/nginx/html; #访问本机IP地址（192.168.153.100）时，默认打开/usr/share/nginx/html/index.html文件/网页
[root@Server ~]# systemctl stop firewalld.service #关闭网络防火墙
[root@Server ~]# setenforce 1 #开启内核防火墙，即安全上下文
[root@Server ~]# systemctl restart nginx.service #重启nginx服务

[root@Server ~]# vim /etc/nginx/nginx.conf #再次编辑nginx的配置文件
38 server {
39 listen 80;
40 listen [::]:80;
41 server_name _;
42 #root /usr/share/nginx/html; #注释掉web默认目录
43 root /myweb; #创建web访问的目录位置
44 index web1.html; #创建默认访问文件

[root@Server ~]# mkdir /myweb #创建目录
[root@Server ~]# echo "web1!" > /myweb/web1.html #创建web1.html文件，并写入'web1!'
[root@Server ~]# nginx -s reload #重新加载nginx服务

因为我们打开的/myweb/web1.html 的安全上下文与nginx进程的安全上下文不匹配，所以打不开网页；然后一开始nginx默认的/usr/share/nginx/html/index.html 与nginx进程的安全上下文匹配，能打开网页，所以把/myweb/web1.html 的安全上下文修改成和/usr/share/nginx/html/index.html 的安全上下文一样就能打开了

[root@Server ~]# ls -Z /usr/share/nginx/html/index.html /myweb/web1.html #同时查看两个文件的安全上下文
unconfined_u:object_r:default_t:s0 /myweb/web1.html
system_u:object_r:httpd_sys_content_t:s0 /usr/share/nginx/html/index.html

（1）临时（chcon）修改安全按上下文

chcon 修改的是文件上已经部署好的策略（文件系统），并不是修改SELinux的策略配置（策略系统）。重启也并不会触发重启上下文，即不会触发策略系统给文件系统重新部署策略

[root@Server ~]# chcon -R --reference=/usr/share/nginx/html /myweb #复制目标目录的安全上下文到指定目录上
[root@Server ~]# ls -Z /usr/share/nginx/html/index.html /myweb/web1.html #再次查看两个文件的安全上下文
system_u:object_r:httpd_sys_content_t:s0 /myweb/web1.html
system_u:object_r:httpd_sys_content_t:s0 /usr/share/nginx/html/index.html

[root@Server ~]# vim /etc/nginx/nginx.conf #编辑nginx配置文件
         38 server {
         39 listen 80;
         40 listen [::]:80;
         41 server_name _;
         42 #root /usr/share/nginx/html;
         43 root /myweb2; #指定web访问目录/myweb2

[root@Server ~]# mkdir /myweb2 #创建/myweb2
[root@Server ~]# echo "web2222" > /myweb2/index.html #写入'web2222'到默认文件index.html
[root@Server ~]# nginx -s reload #重新加载

[root@Server ~]# ls -dZ /usr/share/nginx/html /myweb2 #-d查看目录，查看目录的安全上下文
unconfined_u:object_r:default_t:s0 /myweb2
system_u:object_r:httpd_sys_content_t:s0 /usr/share/nginx/html
[root@Server ~]# chcon -R -t httpd_sys_content_t /myweb2 #-t指定策略类型，将策略类型复制到指定目录下
[root@Server ~]# ls -dZ /usr/share/nginx/html /myweb2
unconfined_u:object_r:httpd_sys_content_t:s0 /myweb2
system_u:object_r:httpd_sys_content_t:s0 /usr/share/nginx/html

因为unconfined_u用户的权限比system_u用户的权限大，所以即使安全上下文不完全相同也能访问到网页

[root@Server ~]# chcon -R -u system_u /myweb2 #-u——将用户类型复制到指定目录下；-r——角色类型复制到指定目录下
[root@Server ~]# ls -dZ /usr/share/nginx/html/ /myweb2 #查看目录安全上下文
system_u:object_r:httpd_sys_content_t:s0 /myweb2
system_u:object_r:httpd_sys_content_t:s0 /usr/share/nginx/html/

（2）永久修改策略semanage

semanage修改策略本身

[root@Server ~]# ls -Z /myweb2 -D #查看目录下文件的原安全上下文
unconfined_u:object_r:default_t:s0 index.html

[root@Server ~]# restorecon -RvvF /myweb2 #恢复默认的SELinux策略，'F'表示显示详情
Relabeled /myweb2 from system_u:object_r:httpd_sys_content_t:s0 to system_u:object_r:default_t:s0
Relabeled /myweb2/index.html from system_u:object_r:httpd_sys_content_t:s0 to system_u:object_r:default_t:s0

[root@Server ~]# semanage fcontext -l | grep ssh #-l——查看，fcontext——上下文；查看ssh服务下的文件或目录使用哪些安全上下文
/etc/rc\.d/init\.d/sshd regular file system_u:object_r:sshd_initrc_exec_t:s0
/etc/ssh/primes regular file system_u:object_r:sshd_key_t:s0
······

[root@Server ~]# ls -Z /usr/share/nginx/html/ /myweb2 #查看目录下文件的安全上下文
/myweb2:
system_u:object_r:default_t:s0 index.html

/usr/share/nginx/html/:
system_u:object_r:httpd_sys_content_t:s0 404.html
system_u:object_r:httpd_sys_content_t:s0 50x.html
system_u:object_r:httpd_sys_content_t:s0 icons
system_u:object_r:httpd_sys_content_t:s0 index.html
······
[root@Server ~]# semanage fcontext -a -t httpd_sys_content_t "/myweb2(/.*)?" #-a添加，-t策略类型，"/myweb2(/.*)?"——正则表达式，将策略复制到目录以及目录下的文件
[root@Server ~]# ls -Z /myweb2 #查看目录的安全上下文，因为semanage修改的是策略本身（策略系统），所以需要重新下发SELinux策略
system_u:object_r:default_t:s0 index.html
[root@Server ~]# restorecon -RvvF /myweb2 #重新给/myweb 下发策略，（'F'）并显示详情
Relabeled /myweb2 from system_u:object_r:default_t:s0 to system_u:object_r:httpd_sys_content_t:s0
Relabeled /myweb2/index.html from system_u:object_r:default_t:s0 to system_u:object_r:httpd_sys_content_t:s0

三、修改端口

[root@Server ~]# semanage port -l |grep http #查看http下有哪些端口
http_cache_port_t tcp 8080, 8118, 8123, 10001-10010
http_cache_port_t udp 3130
http_port_t tcp 80, 81, 443, 488, 8008, 8009, 8443, 9000
·····

[root@Server ~]# semanage port -a -t http_port_t -p tcp 7777 #-a添加，-d删除，-t指定策略，-p指定协议及端口；添加端口号
[root@Server ~]# semanage port -l |grep http
http_cache_port_t tcp 8080, 8118, 8123, 10001-10010
http_cache_port_t udp 3130
http_port_t tcp 7777, 80, 81, 443, 488, 8008, 8009, 8443, 9000
······

[root@Server ~]# vim /etc/nginx/nginx.conf #编辑nginx配置文件
38 server {
39 listen 7777; #修改端口号
40 listen [::]:80;
41 server_name _;
42 #root /usr/share/nginx/html;
43 root /myweb2;

[root@Server ~]# nginx -s reload

四、布尔值的查询与修改

[root@Server ~]# getsebool -a |grep http #查看http的策略是否开启
httpd_anon_write --> off
httpd_builtin_scripting --> on
httpd_can_check_spam --> off
httpd_can_connect_ftp --> off
httpd_can_connect_ldap --> off
······

[root@Server ~]# setsebool -P httpd_anon_write=1 #开启httpd_anon_writec策略
[root@Server ~]# getsebool -a |grep http
httpd_anon_write --> on #策略已开启
httpd_builtin_scripting --> on
httpd_can_check_spam --> off
httpd_can_connect_ftp --> off
httpd_can_connect_ldap --> off

······