SELINUX的基础知识_selinux 基础

1.SELINUX介绍

SELINUX（安全增强型Linux）是可保护你系统安全性的额外机制。在某种程度上，它可以被看作是与标准权限系统。在常规模式中，以用户身份运行进程，并且系统上的文件和其他资源都设置了权限（控制哪些用户对哪些文件具有哪些访问权SELINUX的另一个不同之处在于，若要访问文件，你必须具有普通访问权限和SELINUX访问权限。因此，即使以超级用户身份root运行进程，根据进程以及文件或资源的SELINUX安全性上下文可能拒绝访问文件或资源限）标签。我们可以通过getenforce命令查看selinux状态：enforcing强制  permissive警告   disabled关闭。

• 显示及更改SELINUX模式
  setenforce 0命令可以将enforcing强制类型转换为permissive警告
  setenforce 1命令可以将permissive警告类型转换为enforcing强制
  
  enforcing强制变为 disabled关闭,改文件/etc/sysconfig/selinux
  
  要reboot机子修改才能成功。

2.SELINUX安全上下文

当SELINUX模式关闭时，将一个文件移动到匿名用户的家目录下，进行匿名用户访问时我们可以查看到此文件。（如下图aaa）（此实验为了方便对比效果，在一个机子上同时下载了客户端和服务端，所以可以在本机上访问本机ftp服务器）

• getenforce
  disabled关闭
  
• enforcing强制
  对文件的影响：给文件会添加CONTEXT安全上下文
  当SELINUX模式为强制模式时，将一个文件移动到匿名用户的家目录下，进行匿名用户访问时我们可以发现并不能看到此文件。（如下图westosfile文件）（此实验为了方便对比效果，在一个机子上同时下载了客户端和服务端，所以可以在本机上访问本机ftp服务器）
  
  文件复制进去匿名用户家目录后不能查看到，因为/var/ftp/pub和/var/ftp/westosfile两个目录的安全上下文不同。我们可以把安全上下文修改成一样的。
  （1）临时修改
  
  chcon -t public_content_t westosfile  修改westosfile文件的安全上下文为public_content_t。
  （2）永久修改
  为实验效果方便查看，我将匿名用户访问的家目录改为/mnt，并在/mnt目录下创建4个文件。
  vim /etc/vsftpd/vsftpd.conf
  anon_root=/mnt
  
  
  通过下图操作，我们可以看到我们在/mnt目录下创建了4个文件，但是我们通过匿名用户访ftp服务时查看的家目录中没有文件。
  
  退出访问，通过ls -Z /mnt语句我们可以查看到/mnt目录下的文件的安全上下文不是public_content_t。
  
  通过下面两条命令修改安全上下文。
  
  再次使用匿名用户访问，可以查看到匿名用户家目录/mnt下的文件。
  

3.管理SELinux布尔值

SELinux布尔值是更改SELinux策略行为的开关。SELinux布尔值是可以启用或禁用的规则。安全管理员可以使SELinux布尔值来调整策略，以有选择地进行调整。

• 在强制模式下上传文件
  getsebool命令用来显示布尔值，setsebool用来修改布尔数值。
  我们通过getsebool -a |grep ftp命令筛选出我们要查看的ftp服务的布尔数值。
  setsebool -P ftpd_anon_write on 命令将ftpd_anon_write 打开。
  
  
  查看/var/ftp/pub/目录的安全上下文，我们可以看到此目录的安全上下文中没有写权限，通过chcon命令为此目录安全上下文添加写权限。
  
  我们在服务端修改/etc/vsftpd/vsftpd.conf文件，如下图允许你名用户上传文件并注释掉之前的家目录。
  
  在客户端访问服务端时可以上传文件。
  

4.查看selinux日志

存放setlinux日志的文件为 /var/log/audit/audit.log文件,但此文件中只存放报错信息并不不提供解决方案。而/var/log/messages日志文件在安装了setroubleshoot软件的情况下会显示具体的报错以及解决方案。
我们通过rpm -qa |grep setroubleshoot查看服务端已经下载了setroubleshoot-server软件。

为了查看效果更清晰，我们将匿名用户家目录下所以文件删掉，在别的目录创建一个文件（aaa），将其移动到匿名用户家目录下。（此实验的环境与上面的实验环境相同）

在客户端访问我们查看不到任何文件。（因为安全上下文不同）

在服务端查看日志， /var/log/audit/audit.log文件只显示错误，不显示解决方式。

查看/var/log/messages日志文件可看到错误与解决方案。