selinux 001 둘러보기

구글에서 공개된 현재 최신 버전인 안드로이드(android 4.2.1_r1)에서 SELINUX 부분만 떼서 분석을 해 보려고 한다.

그 첫번째... extras 패치 내용... (이K님 감사합니다.)

extras는 말 그대로 엑스트라들을 모아놓은 폴더이다.

어디 넣기 애매한 것들...

android/system/extras/ext4_utils를 보면

ext4 파일 시스템을 만들어 주는 유틸리티가 있다.

int wipe_block_device(int fd, s64 len)

{

        u64 range[2];

        int ret;

        range[0] = 0;

        range[1] = len;

        ret = ioctl(fd, BLKSECDISCARD, &range);

        if (ret < 0) {

                range[0] = 0;

                range[1] = len;

                ret = ioctl(fd, BLKDISCARD, &range);

                if (ret < 0) {

                        warn("Discard failed\n");

                        return 1;

                } else {

                        warn("Wipe via secure discard failed, used discard instead\

n");

                        return 0;

                }

        }

        return 0;

}

파일 시스템 wipe out 해주는 부분도 여기 있다.

시스템 레벨에 있어서 그런지 icotl 명령어가 있다.

여기다가 먼 코딩을 해 놓으면 wipe out 할 때 시스템 명령어를 써서 뭔짓을 할 수 있겠군.

암튼, 대충 이런 용도로 쓰는 이곳에 SELINUX를 어떻게 포팅하였는지 알아보자.

소스를 보면

ifeq ($(HAVE_SELINUX), true)
LOCAL_C_INCLUDES += external/libselinux/include
LOCAL_SHARED_LIBRARIES += libselinux
LOCAL_CFLAGS += -DHAVE_SELINUX
endif # HAVE_SELINUX

이런 친구들이 잔뜩있다.

보면

다 같은 구문

include $(CLEAR_VARS)는 android/build/core/clear_vars.mk를 인클루드 해서

VARIABLES를 다 지운다. 새출발을 위한 준비.

HAVE_SELINUX가 있는지 다 체킹해서 있으면 selinux library를 넣어준다.

얜 Buildconfigration file에 지정되어 있으면 같이 빌드가 되는 것이겄지.

content.c를 보면

int inode_set_selinux(u32 inode_num, const char *secon)
{
        struct ext4_inode *inode = get_inode(inode_num);
        u32 *hdr;
        struct ext4_xattr_entry *entry;
        size_t name_len = strlen(XATTR_SELINUX_SUFFIX);
        size_t value_len;
        size_t size, min_offs;
        char *val;

        if (!secon)
                return 0;

        if (!inode)
                return -1;

        hdr = (u32 *) (inode + 1);
        *hdr = cpu_to_le32(EXT4_XATTR_MAGIC);
        entry = (struct ext4_xattr_entry *) (hdr+1);
        memset(entry, 0, EXT4_XATTR_LEN(name_len));
        entry->e_name_index = EXT4_XATTR_INDEX_SECURITY;
        entry->e_name_len = name_len;
        memcpy(entry->e_name, XATTR_SELINUX_SUFFIX, name_len);
        value_len = strlen(secon)+1;
        entry->e_value_size = cpu_to_le32(value_len);
        min_offs = (char *)inode + info.inode_size - (char*) entry;
        size = EXT4_XATTR_SIZE(value_len);
        val = (char *)entry + min_offs - size;
        entry->e_value_offs = cpu_to_le16(min_offs - size);
        memset(val + size - EXT4_XATTR_PAD, 0, EXT4_XATTR_PAD);
        memcpy(val, secon, value_len);
        inode->i_extra_isize = cpu_to_le16(sizeof(struct ext4_inode) - EXT4_GOOD_OL
D_INODE_SIZE);

        return 0;
}

요렇게 되어 있다.

https://ext4.wiki.kernel.org/index.php/Ext4_Disk_Layout

보면

Extended attributes (xattrs) are typically stored in a separate data block on the disk and referenced from inodes via inode.i_file_acl*. The first use of extended attributes seems to have been for storing file ACLs and other security data (selinux)

 selinux를 xattr 영역에 넣는거다.

같은 폴더의

make_ext4fs.c를 보면

ret = inode_set_selinux(entry_inode, dentries[i].secon);

if (ret)

error("failed to set SELinux context on %s\n", dentries[i].path);

해당 함수를 쓰는 부분이 나온다.

int make_ext4fs(const char *filename, s64 len,

                const char *mountpoint, struct selabel_handle *sehnd)

함수 인자로도 들어가 있다.

여기까지만 봐도 ext4 파일 시스템을 만들 때 selinux를 위한 정보가 들어가는 것을 알 수 있다.

if (directory)

root_inode_num = build_directory_structure(directory, mountpoint, 0, android, sehnd);

else

디렉토리 구조 만들때에도...

struct ext4_xattr_entry {

    __u8 e_name_len;

    __u8 e_name_index;

    __le16 e_value_offs;

    __le32 e_value_block;

    __le32 e_value_size;

    __le32 e_hash;

    char e_name[0];

};

라는 xattr.h가 추가되었다.

위키보면

Offset	Type	Name	Description
0x0	__u8	e_name_len	Length of name.
0x1	__u8	e_name_index	Attribute name index.
0x2	__le16	e_value_offs	Location of this attribute's value on the disk block where it is stored. Multiple attributes can share the same value.
0x4	__le32	e_value_block	The disk block where the value is stored. Zero indicates the value is in the same block as this entry.
0x8	__le32	e_value_size	Length of attribute value.
0xC	__le32	e_hash	Hash value of name and value.
0x10	char	e_name[e_name_len]	Attribute name. Does not include trailing NULL.

더 자세한건 소스레벨 공부~ ext4 파일 시스템도 알아야 겠지만 리눅스쪽 공부는 더이상 하기 싫다. PE 파일 배웠던 거나 완전히 내것으로 만들고 싶은데..

extras 에 selinux 관련 파일

android/system/extras/ext4_utils/

Android.mk

contents.c

contents.h

make_ext4fs.c

make_ext4fs.h

make_ext4fs_main.c

mkuserimg.sh

xattr.h

결론 seandoird는 ext4 파일시스템에 xattr에다가 secon{security context(?)}정보를 써 넣는다.