1. 首页
  2. IT资讯

selinux通俗教程1-快速了解context

“u003Cdivu003Eu003Cpu003E接触过linux的人都听说过selinux这个词。从rhel6系统后,装系统时默认就必须打开selinux,但很多老手却是建议装完系统后关闭它,原因是它太麻烦了。selinux就是一把双刃剑,虽然很安全,却让管理员自己都到处碰壁。这里我尽量不用专业的术语让有一定linux基础的同学能够使用selinux,而不是关闭selinux。u003Cu002Fpu003Eu003Cdiv class=”pgc-img”u003Eu003Cimg src=”http:u002Fu002Fp1.pstatp.comu002Flargeu002Fpgc-imageu002Fd3fbea05a08c4e55930f328ac1ac1c67″ img_width=”561″ img_height=”193″ alt=”selinux通俗教程1-快速了解context” inline=”0″u003Eu003Cp class=”pgc-img-caption”u003Eu003Cu002Fpu003Eu003Cu002Fdivu003Eu003Cpu003E那selinux到底是什么?u003Cu002Fpu003Eu003Cpu003E答: 首先,它不是防火墙。你可以把selinux看作是系统权限与服务权限的延伸。有linux基础的同学就知道,操作系统有基本的读,写,执行权限,服务也会控制你是否可以访问服务的资源。Selinux就是在此基础上扩展了更多的权限。学过系统权限的同学都知道r,w,x,s,t这些权限位,selinux在这些权限位的基础上增加了一个概念: 安全上下文(context)u003Cu002Fpu003Eu003Cdiv class=”pgc-img”u003Eu003Cimg src=”http:u002Fu002Fp1.pstatp.comu002Flargeu002Fpgc-imageu002Fe7fa156d22aa4387a37ffcab66c1567a” img_width=”720″ img_height=”268″ alt=”selinux通俗教程1-快速了解context” inline=”0″u003Eu003Cp class=”pgc-img-caption”u003Eu003Cu002Fpu003Eu003Cu002Fdivu003Eu003Cpu003E我们以httpd这个通用的基础服务为例来看看selinux的context是怎么限制权限的u003Cu002Fpu003Eu003Cpu003E1, 在一台开启了selinux的linux服务器上安装httpd服务u003Cu002Fpu003Eu003Cpu003E# yum install httpd httpd-devel -y # systemctl start httpdu003Cu002Fpu003Eu003Cpu003E# systemctl enable httpdu003Cu002Fpu003Eu003Cpu003E2, 准备三个不同的文件到httpd服务的家目录u003Cu002Fpu003Eu003Cpu003E准备第一个文件u003Cu002Fpu003Eu003Cpu003E# echo “main page” > u002Fvaru002Fwwwu002Fhtmlu002Findex.htmlu003Cu002Fpu003Eu003Cpu003E准备第二个文件u003Cu002Fpu003Eu003Cpu003E# cp u002Fetcu002Fpasswd u002Fvaru002Fwwwu002Fhtmlu002Fu003Cu002Fpu003Eu003Cpu003E准备第三个文件u003Cu002Fpu003Eu003Cpu003E# touch u002Frootu002F123u003Cu002Fpu003Eu003Cpu003E# mv u002Frootu002F123 u002Fvaru002Fwwwu002Fhtmlu002Fu003Cu002Fpu003Eu003Cpu003E注意这里是cpu003Cu002Fpu003Eu003Cpu003E注意这里是mvu003Cu002Fpu003Eu003Cpu003E3, 客户端浏览器访问这三个问题,会发现123这个文件访问时权限拒绝,但另两个问题没问题u003Cu002Fpu003Eu003Cdiv class=”pgc-img”u003Eu003Cimg src=”http:u002Fu002Fp3.pstatp.comu002Flargeu002Fpgc-imageu002F18eea7f7bcfe4f1490b99abaf2791a58″ img_width=”720″ img_height=”131″ alt=”selinux通俗教程1-快速了解context” inline=”0″u003Eu003Cp class=”pgc-img-caption”u003Eu003Cu002Fpu003Eu003Cu002Fdivu003Eu003Cpu003E4, 我们来查找原因,有点linux基础的同学就会想到,一般权限拒绝有两种情况:系统权限拒绝和服务权限拒绝。u003Cu002Fpu003Eu003Cdiv class=”pgc-img”u003Eu003Cimg src=”http:u002Fu002Fp1.pstatp.comu002Flargeu002Fpgc-imageu002F0a0da525296c4eb6b5f78bdd03918368″ img_width=”677″ img_height=”244″ alt=”selinux通俗教程1-快速了解context” inline=”0″u003Eu003Cp class=”pgc-img-caption”u003Eu003Cu002Fpu003Eu003Cu002Fdivu003Eu003Cpu003E从上图我们可以看到并不是系统权限拒绝,服务我也是刚安装直接启动的,并没有做任何的配置,所以肯定也不是 服务权限拒绝。那么现在我们就要看看selinux了u003Cu002Fpu003Eu003Cpu003E5,通过查看selinux安全上下文,我们发现了问题u003Cu002Fpu003Eu003Cdiv class=”pgc-img”u003Eu003Cimg src=”http:u002Fu002Fp3.pstatp.comu002Flargeu002Fpgc-imageu002F7ca01af744f6438b894cfb7407cb8794″ img_width=”720″ img_height=”157″ alt=”selinux通俗教程1-快速了解context” inline=”0″u003Eu003Cp class=”pgc-img-caption”u003Eu003Cu002Fpu003Eu003Cu002Fdivu003Eu003Cpu003E6, 解决问题u003Cu002Fpu003Eu003Cdiv class=”pgc-img”u003Eu003Cimg src=”http:u002Fu002Fp1.pstatp.comu002Flargeu002Fpgc-imageu002F3407cb9f1807423d8204857c8fe0ba1a” img_width=”720″ img_height=”162″ alt=”selinux通俗教程1-快速了解context” inline=”0″u003Eu003Cp class=”pgc-img-caption”u003Eu003Cu002Fpu003Eu003Cu002Fdivu003Eu003Cpu003E总结: 我这里不需要大家去记忆有哪些type,每一种type里包含哪些权限。只需要大家能够去理解type就代表了一组权限的集合,能够通过比较法去解决实际的问题即可,这才是学习selinux的快速有效的方法。u003Cu002Fpu003Eu003Cpu003EPS: 问题解决了后,回过来提一个问题: 为什么123文件的context安全上下文就和另两个不一样呢?u003Cu002Fpu003Eu003Cdiv class=”pgc-img”u003Eu003Cimg src=”http:u002Fu002Fp9.pstatp.comu002Flargeu002Fpgc-imageu002Fba1278323c444461a770313a90aa40fc” img_width=”692″ img_height=”148″ alt=”selinux通俗教程1-快速了解context” inline=”0″u003Eu003Cp class=”pgc-img-caption”u003Eu003Cu002Fpu003Eu003Cu002Fdivu003Eu003Cdiv class=”pgc-img”u003Eu003Cimg src=”http:u002Fu002Fp1.pstatp.comu002Flargeu002Fpgc-imageu002F2d706fe6e5874cd1a31bd15854ff2820″ img_width=”720″ img_height=”237″ alt=”selinux通俗教程1-快速了解context” inline=”0″u003Eu003Cp class=”pgc-img-caption”u003Eu003Cu002Fpu003Eu003Cu002Fdivu003Eu003Cpu003E理解了上面的原理后,大家可以试试换httpd的家目录试试,会出现一样的问题。只要将新的家目录的type改为与u002Fvaru002Fwwwu002Fhtmlu002F目录的type一致就可以了。u003Cu002Fpu003Eu003Cu002Fdivu003E”

原文始发于:selinux通俗教程1-快速了解context

主题测试文章,只做测试使用。发布者:玩家L-,转转请注明出处:http://www.cxybcw.com/26906.html

联系我们

13687733322

在线咨询:点击这里给我发消息

邮件:1877088071@qq.com

工作时间:周一至周五,9:30-18:30,节假日休息

QR code