selinux 003 둘러보기

이번엔 구글 안드로이드 4.2.1_r1에서 rootdir쪽을 살펴본다.

init.rc를 보면

    # Set the security context for the init process.

    # This should occur before anything else (e.g. ueventd) is started.

    setcon u:r:init:s0

.

.

.

service ueventd /sbin/ueventd

    class core

    critical

    seclabel u:r:ueventd:s0

.

.

.

# adbd is controlled via property triggers in init..usb.rc

service adbd /sbin/adbd

    class core

    socket adbd stream 660 system system

    disabled

    seclabel u:r:adbd:s0

뭐 setcon이나 setlabel이나 

context를 정의해 주는 것인데....

https://android.googlesource.com/platform/system/core/+/e46f9d510db9351682cf17c49115110870147335

에 보면 

init:
- Load policy at boot.
- Set the security context for service daemons and their sockets.
- New built-in commands: setcon, setenforce, restorecon, setsebool.
- New option for services: seclabel.

서비스를 위한 옵션이라고 되어 있다.

음... 좋아 서비스에는 쟬 써야해...

selinux에서처럼 

# setsebool -P httpd_can_network_connect_db on



bool값의 종류들을 알아두면 관련 서비스가 안 먹을 때 setsebool로 해결이 가능할 것도 같다.





다시 소스로 돌아가서 rootdir 아래쪽에



init.goldfish.rc를 보면



on boot
    setsebool in_qemu=1
    restorecon /sys/qemu_trace/process_name
    restorecon /sys/qemu_trace/state
    restorecon /sys/qemu_trace/symbol



이런 부분도 패치가 되었다.



골드피쉬가 붙는 것들은 에뮬레이터를 위한 녀석이다.



http://fedoraproject.org/wiki/SELinux/restorecon



보면 설명이 있는데



역시나 context 설정을 위한 친구다.



restorecon(8)                                                    restorecon(8)

NAME
restorecon - set file security contexts.



This manual page describes the restorecon program.

This  program  is  primarily used to set the security context (extended
attributes) on one or more files.

It can be run at any time to correct errors, to  add  support  for  new
policy,  or  with the -n option it can just check whether the file con-
texts are all as you expect.



에러 잡을 때 쓴다는데 그럼 어떤 에러들이 있는 것일까?






-----------------------------------------------

You don't have permission to access /...../... on this server.

이란 403 퍼미션 
에러가 났을 경우.


# restorecon -R -v /documentroot




http://allegrett0.tistory.com/entry/restorecon



-----------------------------------------------




Forbidden
You don't have permission to access / on this server.

/var/log/audit/audit.log 에 다음과 같이 에러가 뜹니다.
type=AVC 
msg=audit(1177139220.333:330): avc: denied { getattr } for pid=4337 comm="httpd" 
name="phpMyAdmin-2.9.1.1-all-languages" dev=dm-0 ino=6418532 
scontext=root:system_r:httpd_t:s0 tcontext=root:object_r:user_home_t:s0 
tclass=dir
type=SYSCALL msg=audit(1177139220.333:330): arch=40000003 
syscall=196 success=no exit=-13 a0=91d5f38 a1=bf90d63c a2=265ff4 a3=2008171 
items=0 ppid=4332 pid=4337 auid=0 uid=48 gid=48 euid=48 suid=48 fsuid=48 egid=48 
sgid=48 fsgid=48 tty=(none) comm="httpd" exe="/usr/sbin/httpd" 
subj=root:system_r:httpd_t:s0 key=(null)
type=AVC_PATH 
msg=audit(1177139220.333:330): path="/var/www/html/somedir"







# restorecon -rv /home




http://syynice.egloos.com/8747468



-----------------------------------------------



인터넷에서 찾은 두 가지 경우를 볼 때



CONTEXT 정보가 제대로 붙지 않은 경우(TYPE이라고 할 수도 있을까..)



문제가 발생하는데 이 때 해당 디렉토리에 제대로된 context 값을 붙여주는 엯할을 한다.



그게 file context에 있는 값을 기준으로 하는 건지 그냥 그 디렉토리 이름을



변형해서 해 주는 것인지는 소스를 까봐야 알 듯.





변경파일



android/system/core/rootdir/init.rc

android/system/core/rootdir/etc/init.goldfish.rc