ฉันจะดูเนื้อหาของแพ็คเกจนโยบายของ SELinux ได้อย่างไร


16

ตามที่ชื่อกล่าวไว้ฉันจะดูเนื้อหาของแพ็คเกจนโยบายของ SELinux ได้อย่างไร ไฟล์ผลลัพธ์สิ้นสุดด้วย. ppp ฉันวิ่งบน CentOS 6 แต่ฉันเดาว่ามันเป็นแบบเดียวกับ distros "all"

ตัวอย่างเช่น

    cp /usr/share/selinux/targeted/cobbler.pp.bz2 ~
    bunzip2 cobbler.pp.bz2 
    MAGIC_SELINUX_CMD cobbler.pp

คำตอบ:


17

โมดูลนโยบาย SELinux ถูกสร้างโดยทำตามขั้นตอนต่อไปนี้:

  1. สร้างชุดของกฎนโยบาย: audit2allow
  2. รวบรวม: checkmodule
  3. สร้าง: semodule_package

http://wiki.centos.org/HowTos/SELinux

สมมติว่าฉันมีpostgreylocal.teไฟล์ที่มีเนื้อหาข้างล่าง:

module postgreylocal 1.0;
require {
        type postfix_smtpd_t;
        type postfix_spool_t;
        type initrc_t;
        class sock_file write;
        class unix_stream_socket connectto;
}
#============= postfix_smtpd_t ==============
allow postfix_smtpd_t initrc_t:unix_stream_socket connectto;
allow postfix_smtpd_t postfix_spool_t:sock_file write; 

postgreylocal.pp โมดูลนโยบายจะถูกสร้างขึ้นด้วย:

# checkmodule -M -m -o postgreylocal.mod postgreylocal.te
# semodule_package -m postgreylocal.mod -o postgreylocal.pp 

ในการคลายโมดูลนโยบายนี้คุณต้องมีเครื่องมือที่เรียกว่าsemodule_unpackageเพื่อแตก.modไฟล์แล้วใช้dismodเพื่อแยกโมดูลไบนารีเป็นการแสดงข้อความ

บน Gentoo ของฉันจำเป็นต้องติดตั้งแพ็คเกจต่อไปนี้:

[I] sys-apps/policycoreutils
     Available versions:  [M]2.0.82 [M](~)2.0.82-r1 [M](~)2.0.85 [M](~)2.1.0 {M}(~)2.1.0-r1
     Installed versions:  2.1.0-r1(05:12:27 PM 10/14/2011)
     Homepage:            http://userspace.selinuxproject.org
     Description:         SELinux core utilities

[I] sys-apps/checkpolicy
     Available versions:  [M]2.0.21 [M](~)2.0.23 {M}(~)2.1.0 {debug}
     Installed versions:  2.1.0(01:27:53 PM 10/14/2011)(-debug)
     Homepage:            http://userspace.selinuxproject.org
     Description:         SELinux policy compiler

[I] sys-libs/libsepol
     Available versions:  [M]2.0.41!t [M](~)2.0.42!t {M}(~)2.1.0!t
     Installed versions:  2.1.0!t(01:25:43 PM 10/14/2011)
     Homepage:            http://userspace.selinuxproject.org
     Description:         SELinux binary policy representation library

ประการแรกแยกโมดูลจาก.ppไฟล์:

# semodule_unpackage postgreylocal.pp postgreylocal.mod

และประการที่สองถอดแยกชิ้นส่วนด้วยdismod:

# cd checkpolicy-2.1.0/test/
# ls
dismod.c  dispol.c  Makefile
# make
cc -g -Wall -O2 -pipe -I/usr/include   -c -o dispol.o dispol.c
dispol.c: In function ‘main’:
dispol.c:438:8: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dispol.c:465:9: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dispol.c:476:9: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dispol.c:500:9: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
cc   dispol.o  -lfl -lsepol -lselinux /usr/lib/libsepol.a -L/usr/lib -o dispol
cc -g -Wall -O2 -pipe -I/usr/include   -c -o dismod.o dismod.c
dismod.c: In function ‘main’:
dismod.c:913:8: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dismod.c:982:9: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dismod.c: In function ‘link_module’:
dismod.c:787:7: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
cc   dismod.o  -lfl -lsepol -lselinux /usr/lib/libsepol.a -L/usr/lib -o dismod
# ls
dismod  dismod.c  dismod.o  dispol  dispol.c  dispol.o  Makefile

./dismod postgreylocal.pp
Reading policy...
libsepol.policydb_index_others: security:  0 users, 1 roles, 3 types, 0 bools
libsepol.policydb_index_others: security: 0 sens, 0 cats
libsepol.policydb_index_others: security:  2 classes, 0 rules, 0 cond rules
libsepol.policydb_index_others: security:  0 users, 1 roles, 3 types, 0 bools
libsepol.policydb_index_others: security: 0 sens, 0 cats
libsepol.policydb_index_others: security:  2 classes, 0 rules, 0 cond rules
Binary policy module file loaded.
Module name: postgreylocal
Module version: 1.0


Select a command:
1)  display unconditional AVTAB
2)  display conditional AVTAB
3)  display users
4)  display bools
5)  display roles
6)  display types, attributes, and aliases
7)  display role transitions
8)  display role allows
9)  Display policycon
0)  Display initial SIDs

a)  Display avrule requirements
b)  Display avrule declarations
c)  Display policy capabilities
l)  Link in a module
u)  Display the unknown handling setting
F)  Display filename_trans rules

f)  set output file
m)  display menu
q)  quit

Command ('m' for menu):  1
unconditional avtab:
--- begin avrule block ---
decl 1:
  allow [postfix_smtpd_t] [initrc_t] : [unix_stream_socket] { connectto };
  allow [postfix_smtpd_t] [postfix_spool_t] : [sock_file] { write };

Command ('m' for menu):  a
avrule block requirements:
--- begin avrule block ---
decl 1:
commons: <empty>
classes: sock_file{  write } unix_stream_socket{  connectto }
roles  : <empty>
types  : postfix_smtpd_t postfix_spool_t initrc_t
users  : <empty>
bools  : <empty>
levels : <empty>
cats   : <empty>

Command ('m' for menu):  

3
FYI บน Fedora (17) sedismodมันเป็น มีอยู่แล้วพร้อมกับcheckpolicyและsemodule_unpackพร้อมกับการติดตั้งเริ่มต้น Btw ผ่านทางsemodule_unpackage foo.pp foo.mod foo.fcคุณสามารถแยกไฟล์ไฟล์เนื้อหา
maxschlepzig

ลิงก์ในโพสต์นี้คือ 404 คุณสามารถอัปเดตได้หรือไม่ ฉันต้องติดตั้งsemodule_unpackageและdismodสำหรับกล่องของฉัน ขอบคุณ!
sffc

dismodสามารถพบได้ใน SELinux รหัสที่มา
MTK

2

คุณประสบปัญหาเช่นนี้wrong magic number for module package: expected 0xf97cff8f, got 0x39685a42หรือไม่?

ไฟล์ .pp จะถูกเก็บไว้ในรูปแบบภายใน bzip2 ดังนั้นคุณจะต้องทำก่อนbzip2 -cdk policyfile.pp > policyfile.pp.out semodule_unpackage policyfile.pp.out policyfile.mod


2
ไฟล์นโยบายที่คอมไพล์จะไม่ถูกบีบอัดด้วย BZip2:bzip2: policy.30 is not a bzip2 file.
Grégoire C

1
ไฟล์นโยบายที่ติดตั้งจะถูกบีบอัดเป็น bzip2 ตามที่fileจะยืนยัน แม้ว่าคำต่อท้ายจะไม่เปลี่ยนแปลง ...
Bob Dalgleish
โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.