SELinux/SEAndroid 实例简述（二） TE语言规则

typeshell,domain

//定义一个类型，属于dev_type属性

typettyMT_device,dev_type;

//属性dev_type在external/sepolicyattributes的定义如下

attributedev_type;

typeusb_device,dev_type,mlstrustedobject;

#定义httpd_user_content_t，并关联两个属性

typehttpd_user_content_t,file_type,httpdcontent;

分成两条语句进行表述：

#定义httpd_user_content_t

typehttpd_user_content_t;

#关联属性

typeattributehttpd_user_content_tfile_type,httpdcontent;

#Alltypesusedfordevices.

attributedev_type;

#Alltypesusedforprocesses.

attributedomain;

#Alltypesusedforfilesystems.

attributefs_type;

#Alltypesusedforfilesthatcanexistonalabeledfs.

#Donotuseforpseudofiletypes.

attributefile_type;

#Alltypesusedfordomainentrypoints.

attributeexec_type;

#Alltypesusedforpropertyservice

attributeproperty_type;

#Allservice_managertypescreatedbysystem_server

attributesystem_server_service;

#AlldomainsthatcanoverrideMLSrestrictions.

#i.e.processesthatcanreadupandwritedown.

attributemlstrustedsubject;

#AlltypesthatcanoverrideMLSrestrictions.

#i.e.filesthatcanbereadbylowerandwrittenbyhigher

attributemlstrustedobject;

#Alldomainsusedforapps.

attributeappdomain;

#Alldomainsusedforappswithnetworkaccess.

attributenetdomain;

#Alldomainsusedforbinderservicedomains.

attributebinderservicedomain;

[external/sepolicy/security_classes示例]

#file-relatedclasses

classfilesystem

classfile#代表普通文件

classdir#代表目录

classfd#代表文件描述符

classlnk_file#代表链接文件

classchr_file#代表字符设备文件

......

#network-relatedclasses

classsocket#socket

classtcp_socket

classudp_socket

......

classbinder#Android平台特有的binder

classzygote#Android平台特有的zygote

格式为：commoncommon_name{permission_name...}

common定义的permset能被另外一种permset命令class所继承

如：

commonfile{

ioctlreadwritecreategetattrsetattrlockrelabelfromrelabelto

appendunlinklinkrenameexecuteswaponquotaonmounton

classclass_name[inheritscommon_name]{permission_name...}

inherits表示继承了某个common定义的权限

注意，class命令它不能被其他class继承

继承一个common，如继承了filecommon

classdir

inheritsfile

{

add_name

remove_name

reparent

search

rmdir

open

audit_access

execmod

}

不继承任何common，如

classbinder

{

impersonate

call

set_context_mgr

transfer

}

然后是一些特殊的配置文件：

a.external/sepolicy/attributes->所有定义的attributes都在这个文件

b.external/sepolicy/access_vectors->对应了每一个class可以被允许执行的命令

c.external/sepolicy/roles->Android中只定义了一个role，名字就是r，将r和attributedomain关联起来

d.external/sepolicy/users->其实是将user与roles进行了关联，设置了user的安全级别，s0为最低级是默认的级别，mls_systemHigh是最高的级别

e.external/sepolicy/security_classes->指的是上文命令中的class，个人认为这个class的内容是指在android运行过程中，程序或者系统可能用到的操作的模块

f.external/sepolicy/te_macros->系统定义的宏全在te_macros文件

g.external/sepolicy/***.te->一些配置的文件，包含了各种运行的规则

/sys/devices/system/cpu(/.*)?u:object_r:sysfs_devices_system_cpu:s0

/sys/power/wake_lock--u:object_r:sysfs_wake_lock:s0

/sys/power/wake_unlock--u:object_r:sysfs_wake_lock:s0

/sys/kernel/uevent_helper--u:object_r:usermodehelper:s0

/sys/module/lowmemorykiller(/.*)?--u:object_r:sysfs_lowmemorykiller:s0

#############################

#aseccontainers

/mnt/asec(/.*)?u:object_r:asec_apk_file:s0

/mnt/asec/[^/]+/[^/]+\.zipu:object_r:asec_public_file:s0

#‘-b’-BlockDevice‘-c’-CharacterDevice

#‘-d’-Directory‘-p’-NamedPipe

#‘-l’-SymbolicLink‘-s’-Socket

#‘--’-Ordinaryfile

/*

允许user_t对bin_t类型的文件和文件夹执行read,getattr操作

*/

allowuser_tbin_t:{filedir}{readgetattr};

/*

允许domain对exec_type,sbin_t类型的文件执行execute的动作

*/

allowdomain{exec_typesbin_t}:fileexecute;

/*

允许user_t对bin_t类型的文件和文件夹执行所有操作

*/

allowuser_tbin_t:{filedir}*;

/*

允许user_t对bin_t类型的文件和文件夹执行除了read,getattr以外的所有操作

*/

allowuser_tbin_t:{filedir}~{readgetattr};

/*

允许domain对exec_type类型的文件执行execute的动作，除了sbin_t以外

*/

allowdomain{exec_type-sbin_t}:fileexecute;

type_transitionsource_typetarget_type:classdefault_type;

举个例子

type_transitioninit_tapache_exec_t:processapache_t;

#首先，你得让init_t域中的进程能够执行type为apache_exec_t的文件

allowinit_tapache_exec_t:fileexecute;

#然后，你还得告诉SELiux，允许init_t做DT切换以进入apache_t域

allowinit_tapache_t:processtransition;

#最后，你还得告诉SELinux，切换入口（对应为entrypoint权限）为执行pache_exec_t类型的文件

allowapache_tapache_exec_t:fileentrypoint;

type_transitionpasswd_ttmp_t:filepasswd_tmp_t;

对应的必须有两个前提条件:

*Thesourcedomainneedspermissiontoaddfileentriesintothedirectory

这个process必须有在这个目录下添加文件的权限.

*Thesourcedomainneedspermissiontocreatefileentries

这个process必须有在这个目录下创建以这个SecurityContext为Label的文件权限.

#定义domain_auto_trans宏，$1,$2等等代表宏的第一个，第二个....参数

define(`domain_auto_trans',`

	#先allow相关权限,domain_trans宏定义在后面

domain_trans($1,$2,$3)

	#然后设置type_transition

	type_transition$1$2:process$3;

')

#定义domain_trans宏。

define(`domain_trans',`

	#SEAndroid在上述三个最小权限上，还添加了自己的一些权限

	allow$1$2:file{getattropenreadexecute};

	allow$1$3:processtransition;

	allow$3$2:file{entrypointreadexecute};

	allow$3$1:processsigchld;

	dontaudit$1$3:processnoatsecure;

	allow$1$3:process{siginhrlimitinh};

')

#####################################

#file_type_auto_trans(domain,dir_type,file_type)

#Automaticallylabelnewfileswithfile_typewhen

#theyarecreatedbydomainindirectorieslabeleddir_type.

#

define(`file_type_auto_trans',`

#Allowthenecessarypermissions.

file_type_trans($1,$2,$3)

#Makethetransitionoccurbydefault.

type_transition$1$2:dir$3;

type_transition$1$2:notdevfile_class_set$3;

')

define(`file_type_trans',`

#Allowthedomaintoaddentriestothedirectory.

allow$1$2:dirra_dir_perms;

#Allowthedomaintocreatethefile.

allow$1$3:notdevfile_class_setcreate_file_perms;

allow$1$3:dircreate_dir_perms;

')

define(`x_file_perms',`{getattrexecuteexecute_no_trans}')

define(`r_file_perms',`{getattropenreadioctllock}')

define(`w_file_perms',`{openappendwrite}')

define(`rx_file_perms',`{r_file_permsx_file_perms}')

define(`ra_file_perms',`{r_file_permsappend}')

define(`rw_file_perms',`{r_file_permsw_file_perms}')

define(`rwx_file_perms',`{rw_file_permsx_file_perms}')

define(`create_file_perms',`{createrenamesetattrunlinkrw_file_perms}')

allowdemodemo_device:chr_filerw_file_perms;