从原理到实践：深入探索Linux安全机制（一，那些年Linux运维面试官常问的知识点

chown fanfu:yzxa file.txt
1

chmod 和 chown 是两个在 CentOS（以及其他 Linux 发行版）中常用的命令，用于修改文件或目录的权限和所有者，功能上很相近，但是还是有区别的：

chmod 命令：

• 作用：chmod 命令用于修改文件或目录的权限。
• 使用方式：chmod 命令后面跟着权限模式和要修改权限的文件或目录路径。
• 权限模式：可以使用数字（例如 755）或符号（例如 u+rwx）来指定权限模式。
• 数字模式：数字模式使用三位数，每一位表示一个权限组（所有者、所属组、其他用户），其中每一位的值为 4（读权限）、2（写权限）和 1（执行权限）的组合。例如，755 表示所有者具有读、写和执行权限，所属组和其他用户具有读和执行权限。
• 符号模式：符号模式使用类似于 u+rwx、g+rw、o-x 的格式来指定权限。u 代表所有者，g 代表所属组，o 代表其他用户，+ 表示添加权限，- 表示移除权限，r 表示读权限，w 表示写权限，x 表示执行权限。

chown 命令：

• 作用：chown 命令用于修改文件或目录的所有者。
• 使用方式：chown 命令后面跟着新的所有者和要修改所有者的文件或目录路径。
• 所有者：可以使用用户名或用户 ID（UID）来指定新的所有者。

总的来看，chmod 用于修改文件或目录的权限，而 chown 用于修改文件或目录的所有者。它们是不同的命令，用途和参数也不同。在实际应用中，我们可以根据需要选择使用 chmod 或 chown 来对文件或目录进行相应的权限和所有者的修改操作。

SELinux

SELinux（Security-Enhanced Linux）和 AppArmor 都是用于强化 Linux 系统安全性的安全模块，它们提供了额外的安全层来限制程序和进程的权限，以减少系统受到恶意攻击的风险。

它是由美国国家安全局（NSA）开发的安全模块，旨在提供强大的访问控制机制，通过强制访问控制（MAC）实现对系统资源的细粒度控制。SELinux基于安全策略规则，可以限制程序、进程和用户对文件、网络资源以及其他系统资源的访问权限，从而减少潜在的安全漏洞。SELinux的灵活性很高，但配置和管理相对复杂，想要熟练掌握有一定难度。然而这并妨碍你来了解它，如果在使用Linux系统中，遇到一些棘手的问题，这个地方也是一个排查方向。

这里可以先从以下几个方面来理解一下SELinux的工作原理：

• 安全策略：

SELinux 使用安全策略来定义系统资源和对象之间的访问规则。这些安全策略由 SELinux 策略库（Policy）管理，其中包括了对文件、进程、网络端口等各种资源的访问规则定义，以及用户角色和安全上下文等信息。

• 安全上下文：

在 SELinux 中，每个对象（如文件、进程）都有一个安全上下文，用于描述该对象的安全属性。安全上下文由标签表示，包括了对象的类型（Type）、角色（Role）和用户（User）等信息。这些安全上下文决定了对象可以执行的操作和被允许的访问权限。

• 强制访问控制：

SELinux 引入了强制访问控制（MAC），通过强制执行安全策略来限制系统资源的访问。即使用户具有足够的权限（如 root），也无法绕过 SELinux 对资源的访问控制。这种强制控制确保了系统的安全性，减少了恶意软件和攻击的影响范围。

• 安全上下文转换：

当进程或程序尝试访问某个资源时，SELinux 会根据安全上下文进行访问权限的检查。如果需要访问的资源与进程的安全上下文不匹配，SELinux 可能会进行安全上下文的转换，以确保访问的合法性。

• 日志和审计：

SELinux 提供了完善的日志和审计功能，可以记录系统中发生的安全事件和违反安全策略的行为。这些日志信息对于系统管理员来说是非常有价值的，可以帮助其监控系统的安全状况，并及时采取措施应对潜在的安全威胁。

以我个人经验来看，在日常工作来说，SELinux的安全策略管理是一个非常重要的地方，之前在搭建vsftp服务的时候，遇到的问题就是vsftp的配置正常，但是无法实现匿名用户的访问、文件上传，经过排查发现原因是SELinux的安全策略中，允许匿名用户写入的权限是关闭的，后来把这个权限打开，问题迎刃而解。因此，我觉得，如果能够掌握SELinux安全策略的基本管理，还是比较实用的。这里就给大家分享一下SELinux安全策略管理常用工具和命令的用法：

1、sestatus

sestatus命令可以查看当前 SELinux 的状态和基本信息，包括是否启用、当前模式等。

sestatus
1

sestatus输出信息的解读：

• ELinux status: enabled

SELinux 状态为启用，这表示 SELinux 安全模块已经启用并正在系统中运行。

• SELinuxfs mount: /sys/fs/selinux

SELinux 文件系统挂载点的路径为 /sys/fs/selinux，这是 SELinux 内核文件系统所在的路径。

• SELinux root directory: /etc/selinux

SELinux 根目录的路径为 /etc/selinux，这是 SELinux 配置文件等相关文件存放的位置。

• Loaded policy name: targeted

加载的策略名称为 targeted，这表示系统当前使用的是针对特定应用的 SELinux 策略。

• Current mode: enforcing

当前 SELinux 模式为强制执行（enforcing），这意味着 SELinux 将强制执行安全策略，对违反规则的操作进行限制。

• Mode from config file: enforcing

从配置文件中设置的 SELinux 模式也是强制执行（enforcing），这说明系统会在重启后继续以强制执行模式运行。

• Policy MLS status: enabled

策略 MLS 状态为启用，这表示多级安全策略（MLS）功能在 SELinux 中是启用的。

• Policy deny_unknown status: allowed

deny_unknown 策略状态为允许（allowed），这表示 SELinux 允许对未知进程进行访问控制。

• Max kernel policy version: 31

最大内核策略版本号为 31，这是指内核支持的 SELinux 策略的最大版本号。

2、getenforce

getenforce命令可以查看 SELinux 的强制模式（Enforcing）、警告模式（Permissive）或禁用模式（Disabled）。

3、semanage

semanage命令可以查询和管理 SELinux 策略中的各种对象，如端口、用户、登录名等。比如查询ftp服务相关的布尔值是否处于打开状态，这里多解释一下，在 SELinux 安全策略中，布尔值（Boolean）是一种用于控制特定安全策略行为的开关变量。通过设置这些布尔值，可以启用或禁用特定的安全策略规则，从而调整系统的访问控制行为。

semanage boolean -l | grep ftp
1

如果semanage指令执行错误，可以是未安装SELinux管理工具包，执行下面的指令进行相关工具包安装，安装后再次执行上述命令：

sudo yum install policycoreutils
1

4、setsebool

setsebool 用于设置或修改 SELinux 的布尔值（Boolean）。布尔值通常以 on 或 off 的形式存在，用于表示某个特定的安全功能或行为是否启用。通过 setsebool，你可以启用或禁用特定的 SELinux 布尔值，从而调整系统的访问控制行为。

比如，允许vsftpd服务匿名用户写入

setsebool -P ftpd_anon_write on
1

其中，-P 参数表示永久性地修改该布尔值，而不仅仅是临时性地修改。

5、getsebool

用于查看 SELinux 布尔值的状态。比如，查询允许vsftpd服务匿名用户写入的布尔值：

getsebool ftpd_anon_write
1

写在最后

非常感谢你能耐心看完我的这篇文章，希望我的分享对你有所帮助。当然，如果你觉得这篇文章对你有所帮助，不妨点击点赞按钮，让更多的人看到这篇优质的技术分享。同时，别忘了将这篇文章收藏起来，也方便日后再次查阅。

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数Linux运维工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Linux运维全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Linux运维知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip1024b （备注Linux运维获取）

最全的Linux教程，Linux从入门到精通

======================

1. linux从入门到精通(第2版)

2. Linux系统移植

3. Linux驱动开发入门与实战

4. LINUX 系统移植 第2版

5. Linux开源网络全栈详解 从DPDK到OpenFlow

第一份《Linux从入门到精通》466页

====================

内容简介

====

本书是获得了很多读者好评的Linux经典畅销书**《Linux从入门到精通》的第2版**。本书第1版出版后曾经多次印刷，并被51CTO读书频道评为“最受读者喜爱的原创IT技术图书奖”。本书第﹖版以最新的Ubuntu 12.04为版本，循序渐进地向读者介绍了Linux 的基础应用、系统管理、网络应用、娱乐和办公、程序开发、服务器配置、系统安全等。本书附带1张光盘，内容为本书配套多媒体教学视频。另外,本书还为读者提供了大量的Linux学习资料和Ubuntu安装镜像文件，供读者免费下载。

本书适合广大Linux初中级用户、开源软件爱好者和大专院校的学生阅读，同时也非常适合准备从事Linux平台开发的各类人员。

需要《Linux入门到精通》、《linux系统移植》、《Linux驱动开发入门实战》、《Linux开源网络全栈》电子书籍及教程的工程师朋友们劳烦您转发+评论

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

专院校的学生阅读，同时也非常适合准备从事Linux平台开发的各类人员。**

需要《Linux入门到精通》、《linux系统移植》、《Linux驱动开发入门实战》、《Linux开源网络全栈》电子书籍及教程的工程师朋友们劳烦您转发+评论

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
[外链图片转存中…(img-CyeDVhmX-1712778597903)]