碼上快樂

相關內容    簡體    繁體

SELinux/SEAndroid 實例簡述（二） TE語言規則

本文轉載自   查看原文   2017-02-08 18:01   5831  
   
   
   
           
    
    
    
    
            
  1. /***********************************
    2. 
    
    
    
            
  2. * Author：劉江明 
    3. 
    
    
    
            
  3. * Environment：MTK Android 6.0
    4. 
    
    
    
            
  4. * Date：2016年11月05日
    5. 
    
    
    
            
  5. ***********************************/
    6.

一. 基本語法
很多te文件集中在\external\sepolicy文件夾下，MTK也有很多自定義的在\device\mediatek\common\sepolicy。它的最基本樣式是        
  
  
  
          
    
   
   
   
           
  1. allow factory powerctl_prop:property_service set;
    2. 
   
   
   
           
  2. allow factory ttyGS_device:chr_file { read write open ioctl};
    3. 
   
   
   
           
  3. allow factory ttyMT_device:chr_file { read write open ioctl};
    4. 
   
   
   
           
  4. allow factory irtx_device:chr_file { read write ioctl open };
    5. 
   
   
   
           
  5. allow factory devpts:chr_file { read write getattr ioctl };
    6.
這些allow語句就是最基本的te語句了，相似的te語句的會被歸類在一個的te文件下面。如上面的語句是作用於factory，則會在 factory .te文件里。 \external\sepolicy集中了很多系統定義的te文件 
文件名 歸類
mac_permissions.xml App進程
seapp_contexts App數據文件
file_contexts 系統文件
property_contexts 系統屬性
最基本的語法為：     
    
    
    
            
    
     
     
     
             
  1. /*
    2. 
     
     
     
             
  2. rule_name：規則名，分別有allow,dontaudit,neverallow等
    3. 
     
     
     
             
  3. source_type：主要作用是用來填寫一個域(domain)
    4. 
     
     
     
             
  4. target_type：類型
    5. 
     
     
     
             
  5. class：類別，主要有File,Dir,Socket,SEAndroid還有Binder等
    6. 
     
     
     
             
  6. perm_set：動作集
    7. 
     
     
     
             
  7. */
    8. 
     
     
     
             
  8. rule_name source_type target_type:class perm_set
    9.
我們   從上面拿一個實例下來分析一下： 
    
    
    
            
    
     
     
     
             
  1. /*
    2. 
     
     
     
             
  2.  用中文來表述是：允許factory域里的進程或服務
    3. 
     
     
     
             
  3.  對類型為ttyMT_device的類別為文件(file)
    4. 
     
     
     
             
  4.  執行open,read,write,ioctl權限
    5. 
     
     
     
             
  5. */
    6. 
     
     
     
             
  6. allow factory ttyMT_device:chr_file { read write open ioctl};
    7.
file_contexts里面顯式定義了哪些文件屬於ttyMT_device類型的 
    
    
    
            
    
     
     
     
             
  1. /dev/ttyMT.* u:object_r:ttyMT_device:s0
    2.
te表達式基本上就是這樣：
rule_name：規則名稱，除了有allow還有dontaudit，auditallow和neverallow
source_type：源類型，對應一個很重要的概念--------域（domain）
tartget_type：目標的類型，SELinux一個重要的判斷對象
class：類別，目標（客體）是哪種類別，主要有File,Dir,Socket,SEAndroid還有Binder等，在這些基礎上又細分出設備字符類型（chr_file），鏈接文件（lnk_file）等。可以通過ls -l查看文件類型
perm_set：動作集

從上到下按順序介紹一下：
rule_name:
 allow：允許某個進程執行某個動作
auditallow：audit含義就是記錄某項操作。默認SELinux只記錄那些權限檢查失敗的操作。 auditallow則使得權限檢查成功的操作也被記錄。注意，allowaudit只是允許記錄，它和賦予權限沒關系。賦予權限必須且只能使用allow語句。
dontaudit：對那些權限檢查失敗的操作不做記錄。
neverallow：沒有被allow到的動作默認就不允許執行的。neverallow只是顯式地寫出某個動作不被允許，如果添加了該動作的allow，則會編譯錯誤

source_type：
指定一個“域”（domain），一般用於描述進程，該域內的的進程，受該條TE語句的限制。用type關鍵字，把一個自定義的域與原有的域相關聯
最簡單地定義一個新域的方式為： 
    
    
    
            
    
     
     
     
             
  1. type shell, domain
    2.
上面這句話的意思是，賦予shell給domain屬性，同時，shell與屬於domain這個集合里。如果有一個allow domain xxxxx 的語句，同樣地也給了shell xxxxx的屬性

target_type：
指定進程需要操作的客體（文件，文件夾等）類型，同樣是用type與一些已有的類型，屬性相關聯
以上面的 ttyMT_device為例： 
    
    
    
            
    
     
     
     
             
  1. //定義一個類型，屬於dev_type屬性
    2. 
     
     
     
             
  2. type ttyMT_device, dev_type;
    3. 
     
     
     
             
  3. //屬性dev_type在external/sepolicyattributes的定義如下
    4. 
     
     
     
             
  4. attribute dev_type;
    5.
attribute關鍵字定義一個屬性，type可以與一個或多個屬性關聯，如 
     
     
     
             
    
      
      
      
              
  1. type usb_device, dev_type, mlstrustedobject;
    2.
另外，還有一個關鍵字typeattribute，type有兩個作用，定義（聲明）並關聯某個屬性。可以把這兩個作用分開，type定義，typeattribute進行關聯 
      
      
      
              
    
       
       
       
               
  1. #定義httpd_user_content_t，並關聯兩個屬性
    2. 
       
       
       
               
  2. type httpd_user_content_t, file_type, httpdcontent; 
    3. 
       
       
       
               
    4. 
       
       
       
               
  4. 分成兩條語句進行表述：
    5. 
       
       
       
               
  5. #定義httpd_user_content_t
    6. 
       
       
       
               
  6. type httpd_user_content_t;
    7. 
       
       
       
               
  7. #關聯屬性 
    8. 
       
       
       
               
  8. typeattribute httpd_user_content_t file_type, httpdcontent;
    9.

然后你會有一個疑問，這么多屬性，這些屬性有什么作用，這些屬性會有一個地方顯式地說明這個屬性擁有什么權限，在external/sepolicy/domain里就有非常詳細的描述。另個在external/sepolicy/attributes里定義了很多屬性，下面截取了一些常見的定義 
      
      
      
              
    
       
       
       
               
  1. # All types used for devices.
    2. 
       
       
       
               
  2. attribute dev_type;
    3. 
       
       
       
               
    4. 
       
       
       
               
  4. # All types used for processes.
    5. 
       
       
       
               
  5. attribute domain;
    6. 
       
       
       
               
    7. 
       
       
       
               
  7. # All types used for filesystems.
    8. 
       
       
       
               
  8. attribute fs_type;
    9. 
       
       
       
               
    10. 
       
       
       
               
  10. # All types used for files that can exist on a labeled fs.
    11. 
       
       
       
               
  11. # Do not use for pseudo file types.
    12. 
       
       
       
               
  12. attribute file_type;
    13. 
       
       
       
               
    14. 
       
       
       
               
  14. # All types used for domain entry points.
    15. 
       
       
       
               
  15. attribute exec_type;
    16. 
       
       
       
               
    17. 
       
       
       
               
  17. # All types used for property service
    18. 
       
       
       
               
  18. attribute property_type;
    19. 
       
       
       
               
    20. 
       
       
       
               
  20. # All service_manager types created by system_server
    21. 
       
       
       
               
  21. attribute system_server_service;
    22. 
       
       
       
               
    23. 
       
       
       
               
  23. # All domains that can override MLS restrictions.
    24. 
       
       
       
               
  24. # i.e. processes that can read up and write down.
    25. 
       
       
       
               
  25. attribute mlstrustedsubject;
    26. 
       
       
       
               
    27. 
       
       
       
               
  27. # All types that can override MLS restrictions.
    28. 
       
       
       
               
  28. # i.e. files that can be read by lower and written by higher
    29. 
       
       
       
               
  29. attribute mlstrustedobject;
    30. 
       
       
       
               
    31. 
       
       
       
               
  31. # All domains used for apps.
    32. 
       
       
       
               
  32. attribute appdomain;
    33. 
       
       
       
               
    34. 
       
       
       
               
  34. # All domains used for apps with network access.
    35. 
       
       
       
               
  35. attribute netdomain;
    36. 
       
       
       
               
    37. 
       
       
       
               
  37. # All domains used for binder service domains.
    38. 
       
       
       
               
  38. attribute binderservicedomain;
    39.

class：
客體的具體類別。用class來定義一個客體類別，具體定義方式 如下 
    
    
    
            
    
     
     
     
             
  1. [external/sepolicy/security_classes示例]
    2. 
     
     
     
             
  2. # file-related classes
    3. 
     
     
     
             
  3. class filesystem
    4. 
     
     
     
             
  4. class file #代表普通文件
    5. 
     
     
     
             
  5. class dir #代表目錄
    6. 
     
     
     
             
  6. class fd #代表文件描述符
    7. 
     
     
     
             
  7. class lnk_file #代表鏈接文件
    8. 
     
     
     
             
  8. class chr_file #代表字符設備文件
    9. 
     
     
     
             
  9.  ......
    10. 
     
     
     
             
  10.  
    11. 
     
     
     
             
  11. # network-related classes
    12. 
     
     
     
             
  12. class socket #socket
    13. 
     
     
     
             
  13. class tcp_socket
    14. 
     
     
     
             
  14. class udp_socket
    15. 
     
     
     
             
  15. ......
    16. 
     
     
     
             
  16. class binder #Android平台特有的binder
    17. 
     
     
     
             
  17. class zygote #Android平台特有的zygote
    18.

perm_set：
具體的操作，系統的定義在 external/sepolicy/access_vectors。 有兩種定義方法。
用common命令定義： 
    
    
    
            
    
     
     
     
             
  1. 格式為：common common_name { permission_name ... } 
    2. 
     
     
     
             
  2. common定義的perm set能被另外一種perm set命令class所繼承
    3. 
     
     
     
             
  3. 如：
    4. 
     
     
     
             
  4. common file {
    5. 
     
     
     
             
  5.  ioctl read write create getattr setattr lock relabelfrom relabelto
    6. 
     
     
     
             
  6.  append unlink link rename execute swapon quotaon mounton 
    7.
用class命令定義： 
     
     
     
             
    
      
      
      
              
  1. class class_name [ inherits common_name ] { permission_name ... }
    2. 
      
      
      
              
  2. inherits表示繼承了某個common定義的權限 
    3. 
      
      
      
              
  3. 注意，class命令它不能被其他class繼承
    4. 
      
      
      
              
    5. 
      
      
      
              
  5. 繼承一個common，如繼承了file common
    6. 
      
      
      
              
  6. class dir
    7. 
      
      
      
              
  7. inherits file
    8. 
      
      
      
              
  8. {
    9. 
      
      
      
              
  9.  add_name
    10. 
      
      
      
              
  10.  remove_name
    11. 
      
      
      
              
  11.  reparent
    12. 
      
      
      
              
  12.  search
    13. 
      
      
      
              
  13.  rmdir
    14. 
      
      
      
              
  14.  open
    15. 
      
      
      
              
  15.  audit_access
    16. 
      
      
      
              
  16.  execmod
    17. 
      
      
      
              
  17. }
    18. 
      
      
      
              
    19. 
      
      
      
              
  19. 不繼承任何common，如
    20. 
      
      
      
              
  20. class binder
    21. 
      
      
      
              
  21. {
    22. 
      
      
      
              
  22.  impersonate
    23. 
      
      
      
              
  23.  call
    24. 
      
      
      
              
  24.  set_context_mgr
    25. 
      
      
      
              
  25.  transfer
    26. 
      
      
      
              
  26. }
    27. 
     
     
     
             

    
    
    
            
    
     
     
     
             
  1. 然后是一些特殊的配置文件：
    2. 
     
     
     
             
  2. a. external/sepolicy/attributes -> 所有定義的attributes都在這個文件
    3. 
     
     
     
             
  3. b. external/sepolicy/access_vectors -> 對應了每一個class可以被允許執行的命令
    4. 
     
     
     
             
  4. c. external/sepolicy/roles -> Android中只定義了一個role，名字就是r，將r和attribute domain關聯起來
    5. 
     
     
     
             
  5. d. external/sepolicy/users -> 其實是將user與roles進行了關聯，設置了user的安全級別，s0為最低級是默認的級別，mls_systemHigh是最高的級別
    6. 
     
     
     
             
  6. e. external/sepolicy/security_classes -> 指的是上文命令中的class，個人認為這個class的內容是指在android運行過程中，程序或者系統可能用到的操作的模塊
    7. 
     
     
     
             
  7. f. external/sepolicy/te_macros -> 系統定義的宏全在te_macros文件
    8. 
     
     
     
             
  8. g. external/sepolicy/***.te -> 一些配置的文件，包含了各種運行的規則
    9.
                                                                                                    ----------------引用於《 android中SELINUX規則分析和語法簡介 》

二. TE的正則表達式和集合
TE文件支持正則表達式，從下面可以看到，通配符是常用的通配符，可以度娘 
    
    
    
            
    
     
     
     
             
  1. /sys/devices/system/cpu(/.*)? u:object_r:sysfs_devices_system_cpu:s0
    2. 
     
     
     
             
  2. /sys/power/wake_lock -- u:object_r:sysfs_wake_lock:s0
    3. 
     
     
     
             
  3. /sys/power/wake_unlock -- u:object_r:sysfs_wake_lock:s0
    4. 
     
     
     
             
  4. /sys/kernel/uevent_helper -- u:object_r:usermodehelper:s0
    5. 
     
     
     
             
  5. /sys/module/lowmemorykiller(/.*)? -- u:object_r:sysfs_lowmemorykiller:s0
    6. 
     
     
     
             
    7. 
     
     
     
             
  7. #############################
    8. 
     
     
     
             
  8. # asec containers
    9. 
     
     
     
             
  9. /mnt/asec(/.*)? u:object_r:asec_apk_file:s0
    10. 
     
     
     
             
  10. /mnt/asec/[^/]+/[^/]+\.zip u:object_r:asec_public_file:s0
    11.
需要注意的是上面的"--"，這里的“--”表示二進制文件，類似的還有 
    
    
    
            
    
     
     
     
             
  1. #‘-b’ - Block Device ‘-c’ - Character Device
    2. 
     
     
     
             
  2. #‘-d’ - Directory ‘-p’ - Named Pipe
    3. 
     
     
     
             
  3. #‘-l’ - Symbolic Link ‘-s’ - Socket
    4. 
     
     
     
             
  4. #‘--’ - Ordinary file
    5.
TE表達式里可以用“{}”來表示一個集合，如： 
     
     
     
             
    
      
      
      
              
  1. /*
    2. 
      
      
      
              
  2.  允許user_t對bin_t類型的文件和文件夾執行read,getattr操作
    3. 
      
      
      
              
  3. */
    4. 
      
      
      
              
  4. allow user_t bin_t : { file dir } { read getattr }; 
    5. 
      
      
      
              
    6. 
      
      
      
              
  6. /*
    7. 
      
      
      
              
  7.  允許domain對exec_type,sbin_t類型的文件執行execute的動作
    8. 
      
      
      
              
  8. */
    9. 
      
      
      
              
  9. allow domain { exec_type sbin_t } : file execute; 
    10.
可以在集合里使用“*”，“-” 和 “~” 三個通配符 
     
     
     
             
    
      
      
      
              
  1. /*
    2. 
      
      
      
              
  2.  允許user_t對bin_t類型的文件和文件夾執行所有操作
    3. 
      
      
      
              
  3. */
    4. 
      
      
      
              
  4. allow user_t bin_t : { file dir } *; 
    5. 
      
      
      
              
  5. /*
    6. 
      
      
      
              
  6.  允許user_t對bin_t類型的文件和文件夾執行除了read,getattr以外的所有操作
    7. 
      
      
      
              
  7. */
    8. 
      
      
      
              
  8. allow user_t bin_t : { file dir } ~{ read getattr }; 
    9. 
      
      
      
              
  9. /*
    10. 
      
      
      
              
  10.  允許domain對exec_type類型的文件執行execute的動作，除了sbin_t以外
    11. 
      
      
      
              
  11. */
    12. 
      
      
      
              
  12. allow domain { exec_type -sbin_t } : file execute; 
    13.

三. TE的類型轉換規則
為什么要轉換類型
init進程擁有系統的最高權限，如果由Init進程fork，execu出來的進程默認是與init相同的權限，這肯定是不安全的。另一個場景是，由init生成的文件，默認也是init的讀寫權限，不方便其他低權限的文件進行訪問。

類型轉換有兩種類型轉換：
1. 主體的域的轉換
2. 客體的轉換

域的轉換
type_transition的完整格式為： 
    
    
    
            
    
     
     
     
             
  1. type_transition source_type target_type : class default_type;
    2. 
     
     
     
             
  2. 舉個例子
    3. 
     
     
     
             
  3. type_transition init_t apache_exec_t : process apache_t;
    4.
type_transition init_t apache_exec_t : process apache_t;
 init_t 進程執行type為apache_exec_t的可執行文件時，新的進程轉換到apache_t域
但是上面只是告訴了轉換的過程，卻沒有說明，有轉換的權限，如果要上面的轉換成功，還需要下面的語句： 
    
    
    
            
    
     
     
     
             
  1. #首先，你得讓init_t域中的進程能夠執行type為apache_exec_t的文件
    2. 
     
     
     
             
  2. allow init_t apache_exec_t : file execute;
    3. 
     
     
     
             
  3. #然后，你還得告訴SELiux，允許init_t做DT切換以進入apache_t域
    4. 
     
     
     
             
  4. allow init_t apache_t : process transition;
    5. 
     
     
     
             
  5. #最后，你還得告訴SELinux，切換入口（對應為entrypoint權限）為執行pache_exec_t類型的文件
    6. 
     
     
     
             
  6. allow apache_t apache_exec_t : file entrypoint;
    7.

客體的轉換
例子： 
    
    
    
            
    
     
     
     
             
  1. type_transition passwd_t tmp_t : file passwd_tmp_t; 
    2.
passwd_t在tmp_t目錄下創建文件時，該文件的類型轉化為passwd_tmp_t。這里默認隱含了一個tmp_t類型dir，因為file的容器只能是個dir。同樣的，如果要上面的語句運行成功，與需要有相應的權限說明： 
     
     
     
             
    
      
      
      
              
  1. 對應的必須有兩個前提條件:
    2. 
      
      
      
              
  2. * The source domain needs permission to add file entries into the directory
    3. 
      
      
      
              
  3. 這個process 必須有在這個目錄下添加文件的權限.
    4. 
      
      
      
              
  4.  
    5. 
      
      
      
              
  5. * The source domain needs permission to create file entries
    6. 
      
      
      
              
  6. 這個process 必須有在這個目錄下創建以這個Security Context 為Label 的文件權限.
    7.
如果每個轉換之前都需要這樣繁鎖地權限聲音實在很麻煩。TE里允許把這些相同的，重復使用的語句定義成一個宏，類似於函數一樣。

四. TE的宏
如果把上面domain轉換的例子定義成一個宏，應該定義如下： 
     
     
     
             
    
      
      
      
              
  1. #定義domain_auto_trans宏，$1,$2等等代表宏的第一個，第二個....參數
    2. 
      
      
      
              
    3. 
      
      
      
              
  3. define(`domain_auto_trans', `
    4. 
      
      
      
              
  4.  # 先allow相關權限,domain_trans宏定義在后面
    5. 
      
      
      
              
  5.  domain_trans($1,$2,$3)
    6. 
      
      
      
              
  6.  # 然后設置type_transition
    7. 
      
      
      
              
  7.  type_transition $1 $2:process $3;
    8. 
      
      
      
              
  8. ')
    9. 
      
      
      
              
    10. 
      
      
      
              
  10. #定義domain_trans宏。
    11. 
      
      
      
              
  11. define(`domain_trans', `
    12. 
      
      
      
              
  12.  # SEAndroid在上述三個最小權限上，還添加了自己的一些權限
    13. 
      
      
      
              
  13.  allow $1 $2:file { getattr open read execute };
    14. 
      
      
      
              
  14.  allow $1 $3:process transition;
    15. 
      
      
      
              
  15.  allow $3 $2:file { entrypoint read execute };
    16. 
      
      
      
              
  16.  allow $3 $1:process sigchld;
    17. 
      
      
      
              
  17.  dontaudit $1 $3:process noatsecure;
    18. 
      
      
      
              
  18.  allow $1 $3:process { siginh rlimitinh };
    19. 
      
      
      
              
  19. ')
    20.
上面的宏定義在external/sepolicy/te_macros里。客體的轉換定義如下： 
     
     
     
             
    
      
      
      
              
  1. #####################################
    2. 
      
      
      
              
  2. # file_type_auto_trans(domain, dir_type, file_type)
    3. 
      
      
      
              
  3. # Automatically label new files with file_type when
    4. 
      
      
      
              
  4. # they are created by domain in directories labeled dir_type.
    5. 
      
      
      
              
  5. #
    6. 
      
      
      
              
  6. define(`file_type_auto_trans', `
    7. 
      
      
      
              
  7. # Allow the necessary permissions.
    8. 
      
      
      
              
  8. file_type_trans($1, $2, $3)
    9. 
      
      
      
              
  9. # Make the transition occur by default.
    10. 
      
      
      
              
  10. type_transition $1 $2:dir $3;
    11. 
      
      
      
              
  11. type_transition $1 $2:notdevfile_class_set $3;
    12. 
      
      
      
              
  12. ')
    13. 
      
      
      
              
    14. 
      
      
      
              
  14. define(`file_type_trans', `
    15. 
      
      
      
              
  15. # Allow the domain to add entries to the directory.
    16. 
      
      
      
              
  16. allow $1 $2:dir ra_dir_perms;
    17. 
      
      
      
              
  17. # Allow the domain to create the file.
    18. 
      
      
      
              
  18. allow $1 $3:notdevfile_class_set create_file_perms;
    19. 
      
      
      
              
  19. allow $1 $3:dir create_dir_perms;
    20. 
      
      
      
              
  20. ')
    21.

TE的集合也可以定義成一個宏代替，如讀寫文件操作集的宏： 
     
     
     
             
    
      
      
      
              
  1. define(`x_file_perms', `{ getattr execute execute_no_trans }')
    2. 
      
      
      
              
  2. define(`r_file_perms', `{ getattr open read ioctl lock }')
    3. 
      
      
      
              
  3. define(`w_file_perms', `{ open append write }')
    4. 
      
      
      
              
  4. define(`rx_file_perms', `{ r_file_perms x_file_perms }')
    5. 
      
      
      
              
  5. define(`ra_file_perms', `{ r_file_perms append }')
    6. 
      
      
      
              
  6. define(`rw_file_perms', `{ r_file_perms w_file_perms }')
    7. 
      
      
      
              
  7. define(`rwx_file_perms', `{ rw_file_perms x_file_perms }')
    8. 
      
      
      
              
  8. define(`create_file_perms', `{ create rename setattr unlink rw_file_perms }')
    9.
使用方式是： 
     
     
     
             
    
      
      
      
              
  1. allow demo demo_device:chr_file rw_file_perms;
    2.


 參考文章：





免責聲明！

本站轉載的文章為個人學習借鑒使用，本站對版權不負任何法律責任。如果侵犯了您的隱私權益，請聯系本站郵箱yoyou2525@163.com刪除。



猜您在找 SELinux/SEAndroid 實例簡述（二） TE語言規則【轉】 SELinux/SEAndroid 實例簡述（一） 基礎概念 SElinux 讀懂.te 定義自己的 .te【轉】 android 8.1 安全機制 — SEAndroid & SELinux android 8.1 安全機制 — SEAndroid & SELinux Android中SELinux的TE簡介【轉】 Android selinux 解決實例 Handler簡述和實例 android中SELINUX規則分析和語法簡介 android中SELINUX規則分析和語法簡介
 
粵ICP備18138465號   © 2018-2025 CODEPRJ.COM