SElinux
SElinux简介
SELinux是Security-Enhanced Linux的缩写，意思是安全强化的linux
SELinux 主要由美国国家安全局（NSA）开发，当初开发的目的是为了避免资源的误用
传统的访问控制在我们开启权限后，系统进程可以直接访问
当我们对权限设置不严谨时，这种访问方式就是系统的安全漏洞
在开启SElinux后
会对进程本身部署安全上下文
会对文件部署安全上下文
会对服务使用端口进行限制
会对程序本身的不安全功能做限制
SElinux工作原理
SElinux工作方式
SELinux是通过MAC的方式来控制管理进程，它控制的主体是进程，而目标则是该进程能否读取的文件资源
主体（subject）：就是进程
目标（object）：被主体访问的资源，可以是文件、目录、端口等。
策略（policy）：由于进程与文件数量庞大，因此SELinux会依据某些服务来制定基本的访问安全策略
targeted：针对网络服务限制较多，针对本机限制较少，是默认的策略；
strict：完整的SELinux限制，限制方面较为严格。
SElinux安全上下文
安全上下文（security context）：
主体能不能访问目标除了策略指定外，主体与目标的安全上下文必须一致才能够顺利访问。
最终文件的成功访问还是与文件系统的rwx权限设置有关
查看是否开启SElinux
已开启的主机：
[root@localhost ~]# getenforce
Disabled
[root@localhost ~]# grubby --update-kernel ALL --args selinux=1
[root@localhost ~]# reboot [root@localhost ~]# dnf install vsftpd -y
[root@localhost ~]# systemctl start vsftpd.service
[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf
[root@localhost ~]# systemctl restart vsftpd.service
[root@localhost ~]# chmod 777 /var/ftp/pub/
[root@localhost ~]# ps axZ |grep vsftpd
system_u:system_r:ftpd_t:s0-s0:c0.c1023 1924 ? Ss 0:00 /usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 1965 pts/0 S+ 0:00 grep --color=auto vsftpd
[root@localhost ~]# touch /mnt/leefile
[root@localhost ~]# ls -Z /mnt/
unconfined_u:object_r:default_t:s0 file1 unconfined_u:object_r:default_t:s0 file3 unconfined_u:object_r:default_t:s0 file5
unconfined_u:object_r:default_t:s0 file2 unconfined_u:object_r:default_t:s0 file4 unconfined_u:object_r:mnt_t:s0 leefile对文件的影响：
[root@localhost ~]# mv /mnt/leefile /var/ftp/
[root@localhost ~]# cd /var/ftp/
[root@localhost ftp]# ls
leefile pub
[root@localhost ftp]# curl ftp://172.25.254.129
drwxrwxrwx 2 0 0 6 May 09 2023 pub[root@localhost ftp]# lftp 172.25.254.129
lftp 172.25.254.129:~> ls
drwxrwxrwx 2 0 0 6 May 09 2023 pub
lftp 172.25.254.129:/> cd pub/
lftp 172.25.254.129:/pub> ls
lftp 172.25.254.129:/pub> put /etc/passwd
put: /etc/passwd: Access failed: 553 Could not create file. (passwd)
lftp 172.25.254.129:/pub> ls[root@localhost ftp]# getsebool -a |grep ftp
ftpd_anon_write --> off
ftpd_connect_all_unreserved --> off
ftpd_connect_db --> off
ftpd_full_access --> off
ftpd_use_cifs --> off
ftpd_use_fusefs --> off
ftpd_use_nfs --> off
ftpd_use_passive_mode --> off
httpd_can_connect_ftp --> off
httpd_enable_ftp_server --> off
tftp_anon_write --> off
tftp_home_dir --> off对端口的影响：
[root@localhost ftp]# vim /etc/ssh/sshd_config
[root@localhost ftp]# systemctl restart sshd
Job for sshd.service failed because the control process exited with error code.
See "systemctl status sshd.service" and "journalctl -xeu sshd.service" for details.
未开启的主机：
[root@localhost ~]# getenforce
Disabled
[root@localhost ~]# dnf install vsftpd -y
[root@localhost ~]# systemctl start vsftpd.service
[root@localhost ~]# vim /etc/vsftpd/vsftpd.conf 
[root@localhost ~]# systemctl restart vsftpd.service
[root@localhost ~]# chmod 777 /var/ftp/pub/
[root@localhost ~]# ps axZ |grep vsftpd
- 1805 ? Ss 0:00 /usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf
- 1832 pts/0 S+ 0:00 grep --color=auto vsftpd
[root@localhost ~]# touch /mnt/leefile
[root@localhost ~]# ls =Z /mnt/
ls: cannot access '=Z': No such file or directory
/mnt/:
hgfs leefile对文件的影响：
[root@localhost ~]# mv /mnt/leefile /var/ftp/
root@localhost ~]# cd /var/ftp/
[root@localhost ftp]# ls
leefile pub
[root@localhost ftp]# lftp 172.25.254.133
lftp 172.25.254.133:~> ls
-rw-r--r-- 1 0 0 0 Dec 11 09:21 leefile
drwxrwxrwx 2 0 0 6 May 09 2023 pub
lftp 172.25.254.133:/> quit
[root@localhost ftp]# curl ftp://172.25.254.133
-rw-r--r-- 1 0 0 0 Dec 11 09:21 leefile
drwxrwxrwx 2 0 0 6 May 09 2023 pub[root@localhost ftp]# lftp 172.25.254.133
lftp 172.25.254.133:~> ls
-rw-r--r-- 1 0 0 0 Dec 11 09:21 leefile
drwxrwxrwx 2 0 0 6 May 09 2023 pub
lftp 172.25.254.133:/> cd pub/
lftp 172.25.254.133:/pub> put /etc/passwd
2199 bytes transferred
lftp 172.25.254.133:/pub> ls
-rw------- 1 14 50 2199 Dec 11 09:42 passwd[root@localhost ftp]# getsebool -a |grep ftp
getsebool: SELinux is disabled对端口的影响：
[root@localhost ftp]# systemctl restart sshd
安全上下文的查看
文件的安全上下文
[root@localhost ~]# ls -Zsystem_u:object_r:admin_home_t:s0 anaconda-ks.cfg
unconfined_u:object_r:admin_home_t:s0 at_job.sh进程的安全上下文
[root@localhost ~]# ps axZ |grep vsftpd
system_u:system_r:ftpd_t:s0-s0:c0.c1023 1924 ? Ss 0:00 /usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 2341 pts/0 S+ 0:00 grep --color=auto vsftpd安全上下文用冒号分为四个字段：Identify：role：type：
身份标识（Identify）：相当于账号方面的身份标识，主要有以下三种常见的类型：
root： 表示root的账号身份；
system_u： 表示程序方面的标识，通常就是进程；
unconfined_u：代表的是一般用户账号相关的身份。
角色（role）：通过角色字段，可知道这个数据是属于程序、文件资源还是代表用户。一般角色有：
object_r： 代表的是文件或目录等文件资源；
system_r： 代表的是进程。
类型（type）：在默认的targeted策略中，Identify与role字段基本上是不重要的，重要的在于这个类型字段。而类型字段在文件与进程的定义不太相同，分别是：
type： 在文件资源上面称为类型。
domain： 在主体程序中则称为域
domain需要与type搭配，则该程序才能够顺利读取文件资源。
代表灵敏度，一般用s0、s1、s2来命名，数字代表灵敏度的分级。数值越大、灵敏度越高
对于SElinux的管理及优化
SElinux工作模式
SElinux有三种工作模式：
enforcing：强制模式，开始限制domain/type。
permissive：宽容模式，仅会有警告信息并不会实际限制domain/type的访问。
disabled：关闭，SELinux并没有实际运行。
对于SElinux状态管理
1.查看SElinux当前状态查看
[root@localhost ~]# getenforce
Enforcing2.临时更改SElinux的工作模式
[root@localhost ~]# setenforce 0
[root@localhost ~]# getenforce
Permissive
[root@localhost ~]# setenforce 1
[root@localhost ~]# getenforce
Enforcing3.永久更改SElinux状态，永久更改SElinux的状态需要在更改后重启系统才能生效
在RHEL9之前的版本中通过文件来永久更改SElinux的状态
[root@localhost ~]# vim /etc/selinux/config SELINUX=enforcing|permissive|disabled在RHEL9中需要通过修改内核启动参数来永久更改SElinux的状态
[root@localhost ~]# grubby --update-kernel ALL --args selinux=0
[root@localhost ~]# grubby --update-kernel ALL --remove-args selinux4.重启SElinux
系统在开启SElinux后，重启系统SElinux的所有内容不会有任何变化如果需要刷新SElinux
[root@localhost ~]# touch /.autorelabel
)
)
