Посещая наш сайт, вы соглашаетесь с нашей политикой конфиденциальности в отношении файлов cookie, статистики отслеживания и т. д.

Главная » Вопросы и ответы » Системное администрирование и сети

Как просмотреть содержимое пакета политики SELinux

На чтение 9 мин Опубликовано
Содержание
  1. Вопрос или проблема
  2. Ответ или решение
  3. Теория
  4. Пример
  5. Применение
  6. Решение проблем
  7. Заключение

Вопрос или проблема

Как говорит заголовок, как просмотреть содержимое пакета политики SELinux? Получающиеся файлы имеют расширение .pp. Я работаю на CentOS 6, но, думаю, это работает одинаково на “всех” дистрибутивах.

Например

    cp /usr/share/selinux/targeted/cobbler.pp.bz2 ~
    bunzip2 cobbler.pp.bz2 
    MAGIC_SELINUX_CMD cobbler.pp

Модуль политики SELinux создается следующими шагами:

  1. генерация набора политик правил: audit2allow
  2. компиляция: checkmodule
  3. создание: semodule_package

http://wiki.centos.org/HowTos/SELinux

Предполагая, что у меня есть файл postgreylocal.te с содержимым:

module postgreylocal 1.0;
require {
        type postfix_smtpd_t;
        type postfix_spool_t;
        type initrc_t;
        class sock_file write;
        class unix_stream_socket connectto;
}
#============= postfix_smtpd_t ==============
allow postfix_smtpd_t initrc_t:unix_stream_socket connectto;
allow postfix_smtpd_t postfix_spool_t:sock_file write;

Модуль политики postgreylocal.pp будет создан с помощью:

# checkmodule -M -m -o postgreylocal.mod postgreylocal.te
# semodule_package -m postgreylocal.mod -o postgreylocal.pp

Для распаковки этого модуля политики вам понадобится инструмент под названием semodule_unpackage для извлечения .mod файла, а затем использовать dismod для дизассемблирования бинарного модуля в текстовое представление.

На моем Gentoo необходимо установить следующие пакеты:

[I] sys-apps/policycoreutils
     Available versions:  [M]2.0.82 [M](~)2.0.82-r1 [M](~)2.0.85 [M](~)2.1.0 {M}(~)2.1.0-r1
     Installed versions:  2.1.0-r1(05:12:27 PM 10/14/2011)
     Homepage:            http://userspace.selinuxproject.org
     Description:         SELinux core utilities

[I] sys-apps/checkpolicy
     Available versions:  [M]2.0.21 [M](~)2.0.23 {M}(~)2.1.0 {debug}
     Installed versions:  2.1.0(01:27:53 PM 10/14/2011)(-debug)
     Homepage:            http://userspace.selinuxproject.org
     Description:         SELinux policy compiler

[I] sys-libs/libsepol
     Available versions:  [M]2.0.41!t [M](~)2.0.42!t {M}(~)2.1.0!t
     Installed versions:  2.1.0!t(01:25:43 PM 10/14/2011)
     Homepage:            http://userspace.selinuxproject.org
     Description:         SELinux binary policy representation library

Сначала извлеките модуль из файла .pp:

# semodule_unpackage postgreylocal.pp postgreylocal.mod

и затем дизассемблируйте с помощью dismod:

# cd checkpolicy-2.1.0/test/
# ls
dismod.c  dispol.c  Makefile
# make
cc -g -Wall -O2 -pipe -I/usr/include   -c -o dispol.o dispol.c
dispol.c: In function ‘main’:
dispol.c:438:8: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dispol.c:465:9: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dispol.c:476:9: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dispol.c:500:9: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
cc   dispol.o  -lfl -lsepol -lselinux /usr/lib/libsepol.a -L/usr/lib -o dispol
cc -g -Wall -O2 -pipe -I/usr/include   -c -o dismod.o dismod.c
dismod.c: In function ‘main’:
dismod.c:913:8: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dismod.c:982:9: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dismod.c: In function ‘link_module’:
dismod.c:787:7: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
cc   dismod.o  -lfl -lsepol -lselinux /usr/lib/libsepol.a -L/usr/lib -o dismod
# ls
dismod  dismod.c  dismod.o  dispol  dispol.c  dispol.o  Makefile

./dismod postgreylocal.pp
Reading policy...
libsepol.policydb_index_others: security:  0 users, 1 roles, 3 types, 0 bools
libsepol.policydb_index_others: security: 0 sens, 0 cats
libsepol.policydb_index_others: security:  2 classes, 0 rules, 0 cond rules
libsepol.policydb_index_others: security:  0 users, 1 roles, 3 types, 0 bools
libsepol.policydb_index_others: security: 0 sens, 0 cats
libsepol.policydb_index_others: security:  2 classes, 0 rules, 0 cond rules
Binary policy module file loaded.
Module name: postgreylocal
Module version: 1.0

Select a command:
1)  display unconditional AVTAB
2)  display conditional AVTAB
3)  display users
4)  display bools
5)  display roles
6)  display types, attributes, and aliases
7)  display role transitions
8)  display role allows
9)  Display policycon
0)  Display initial SIDs

a)  Display avrule requirements
b)  Display avrule declarations
c)  Display policy capabilities
l)  Link in a module
u)  Display the unknown handling setting
F)  Display filename_trans rules

f)  set output file
m)  display menu
q)  quit

Command ('m' for menu):  1
unconditional avtab:
--- begin avrule block ---
decl 1:
  allow [postfix_smtpd_t] [initrc_t] : [unix_stream_socket] { connectto };
  allow [postfix_smtpd_t] [postfix_spool_t] : [sock_file] { write };

Command ('m' for menu):  a
avrule block requirements:
--- begin avrule block ---
decl 1:
commons: <empty>
classes: sock_file{  write } unix_stream_socket{  connectto }
roles  : <empty>
types  : postfix_smtpd_t postfix_spool_t initrc_t
users  : <empty>
bools  : <empty>
levels : <empty>
cats   : <empty>

Command ('m' for menu):

У вас возникает проблема, например, wrong magic number for module package: expected 0xf97cff8f, got 0x39685a42?

# Файлы .pp хранятся во внутреннем формате bzip2, поэтому перед этим выполните bzip2 -cdk policyfile.pp > policyfile.pp.out
BEFORE
semodule_unpackage policyfile.pp.out policyfile.mod.

cp /usr/share/selinux/targeted/cobbler.pp.bz2 ~
    bunzip2 cobbler.pp.bz2 
    MAGIC_SELINUX_CMD cobbler.pp
centosselinuxmodule postgreylocal 1.0;
require {
        type postfix_smtpd_t;
        type postfix_spool_t;
        type initrc_t;
        class sock_file write;
        class unix_stream_socket connectto;
}
#============= postfix_smtpd_t ==============
allow postfix_smtpd_t initrc_t:unix_stream_socket connectto;
allow postfix_smtpd_t postfix_spool_t:sock_file write;checkmodule -M -m -o postgreylocal.mod postgreylocal.te
# semodule_package -m postgreylocal.mod -o postgreylocal.pp[I] sys-apps/policycoreutils
     Available versions:  [M]2.0.82 [M](~)2.0.82-r1 [M](~)2.0.85 [M](~)2.1.0 {M}(~)2.1.0-r1
     Installed versions:  2.1.0-r1(05:12:27 PM 10/14/2011)
     Homepage:            http://userspace.selinuxproject.org
     Description:         SELinux core utilities

[I] sys-apps/checkpolicy
     Available versions:  [M]2.0.21 [M](~)2.0.23 {M}(~)2.1.0 {debug}
     Installed versions:  2.1.0(01:27:53 PM 10/14/2011)(-debug)
     Homepage:            http://userspace.selinuxproject.org
     Description:         SELinux policy compiler

[I] sys-libs/libsepol
     Available versions:  [M]2.0.41!t [M](~)2.0.42!t {M}(~)2.1.0!t
     Installed versions:  2.1.0!t(01:25:43 PM 10/14/2011)
     Homepage:            http://userspace.selinuxproject.org
     Description:         SELinux binary policy representation library# cd checkpolicy-2.1.0/test/
# ls
dismod.c  dispol.c  Makefile
# make
cc -g -Wall -O2 -pipe -I/usr/include   -c -o dispol.o dispol.c
dispol.c: In function ‘main’:
dispol.c:438:8: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dispol.c:465:9: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dispol.c:476:9: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dispol.c:500:9: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
cc   dispol.o  -lfl -lsepol -lselinux /usr/lib/libsepol.a -L/usr/lib -o dispol
cc -g -Wall -O2 -pipe -I/usr/include   -c -o dismod.o dismod.c
dismod.c: In function ‘main’:
dismod.c:913:8: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dismod.c:982:9: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
dismod.c: In function ‘link_module’:
dismod.c:787:7: warning: ignoring return value of ‘fgets’, declared with attribute warn_unused_result
cc   dismod.o  -lfl -lsepol -lselinux /usr/lib/libsepol.a -L/usr/lib -o dismod
# ls
dismod  dismod.c  dismod.o  dispol  dispol.c  dispol.o  MakefileCommand ('m' for menu):  1
unconditional avtab:
--- begin avrule block ---
decl 1:
  allow [postfix_smtpd_t] [initrc_t] : [unix_stream_socket] { connectto };
  allow [postfix_smtpd_t] [postfix_spool_t] : [sock_file] { write };

Command ('m' for menu):  a
avrule block requirements:
--- begin avrule block ---
decl 1:
commons: <empty>
classes: sock_file{  write } unix_stream_socket{  connectto }
roles  : <empty>
types  : postfix_smtpd_t postfix_spool_t initrc_t
users  : <empty>
bools  : <empty>
levels : <empty>
cats   : <empty>

Command ('m' for menu):

.

Ответ или решение

Для просмотра содержимого пакета политики SELinux, представленного в формате .pp (policy package), необходимо использовать несколько специальных утилит и выполнить ряд последовательных шагов. Данный процесс может быть немного сложным, но является осуществимым при наличии соответствующих инструментов.

Теория

Политики SELinux (Security-Enhanced Linux) представляют собой набор инструкций, определяющих, каким образом различные процессы и пользователи могут взаимодействовать друг с другом и с системными ресурсами. Политики .pp – это скомпилированные модули политики, которые можно установить в систему с помощью инструмента semodule. Однако для анализа или просмотра содержимого такой скомпилированной политики необходимо её сначала разобрать или декомпилировать обратно в текстовый вид.

Пример

Чтобы показать процесс в действии, рассмотрим конкретный пример, в котором у вас есть сжатый bzip2 файл политики с именем cobbler.pp.bz2. Прежде всего, файл необходимо разархивировать. Затем можно использовать несколько инструментов: semodule_unpackage для извлечения из .pp файла промежуточного .mod файла (представляющего собой скомпилированную, но ещё не пакованную политику), и dismod для преобразования .mod файла в человекочитаемую форму.

Применение

Следующие шаги помогут вам просмотреть содержимое SELinux политики:

  1. Извлечение .pp файла:

    cp /usr/share/selinux/targeted/cobbler.pp.bz2 ~
bunzip2 cobbler.pp.bz2

  2. Извлечение .mod файла из .pp:

    Убедитесь, что у вас установлены необходимые пакеты: policycoreutils, checkpolicy, и libsepol. Эти пакеты содержат необходимые утилиты для работы с SELinux политиками.

    semodule_unpackage cobbler.pp cobbler.mod

  3. Декомпиляция .mod файла в текстовую форму:

    Для использования dismod, вам может потребоваться его сборка из исходников, если он не доступен в вашей системе по умолчанию:

    cd /path/to/checkpolicy/source
make dismod
./dismod cobbler.mod

    После выполнения этих команд вы сможете увидеть текстовое представление вашей политики.

Решение проблем

Иногда использование semodule_unpackage может приводить к сообщениям об ошибках, таким как "wrong magic number for module package". Это обычно указывает на проблему с форматом файла, что может возникнуть, если файл не был предварительно правильно разархивирован. Убедитесь, что вы используете следующие шаги для извлечения с корректной конфигурацией:

bzip2 -cdk cobbler.pp > cobbler.pp.out
semodule_unpackage cobbler.pp.out cobbler.mod

Для глубокого анализа, утилита dismod предоставляет интерактивный интерфейс, позволяющий вам исследовать различные аспекты модуля политики, такие как типы, роли и разрешения. Введите m, чтобы отобразить меню доступных команд в dismod.

Заключение

Понимание SELinux политик и умение работать с их пакованными модификациями является ключевым навыком для системных администраторов, работающих в защищённых средах. Эти инструменты и методологии предоставляют полную картину того, как конфигурации безопасности введены и применены в вашей системе, позволяя в конечном итоге обеспечить её безопасную и надёжную работу.

centos centos6 selinux
Оцените материал
Добавить комментарий

Капча загружается...

© 2025 IZ6.RU
*В материалах сайта упоминаются социальные сети Фейсбук / Инстаграм, принадлежащие Meta Platforms Inc., деятельность которой запрещена на территории РФ в части реализации данных социальных сетей на основании осуществления ею экстремистской деятельности