16.5 SELinux 初探

• 当初设计的目标：避免资源的误用 SELinux 是由美国国家安全局 （NSA） 开发的，当初开发这玩意儿的目的是因为很多企业界发现， 通常系统出现问题的原因大部分都在于“内部员工的资源误用”所导致的，实际由外部发动的攻击反而没有这么严重。 那么什么是“员工资源误用”呢？举例来说，如果有个不是很懂系统的系统管理员为了自己设置的方便，将网页所在目录 /var/www/html/ 的权限设置为 drwxrwxrwx 时，你觉得会有什么事情发生？

• http://www.nsa.gov/research/selinux/ 这也就是说：其实 SELinux 是在进行程序、文件等细部权限设置依据的一个核心模块！ 由于启动网络服务的也是程序，因此刚好也能够控制网络服务能否存取系统资源的一道关卡！ 所以，在讲到 SELinux 对系统的存取控制之前，我们得先来回顾一下之前谈到的系统文件权限与使用者之间的关系。 因为先谈完这个你才会知道为何需要 SELinux 的啦！
• 传统的文件权限与帐号关系：自主式存取控制, DAC 我们 第十三章、Linux 帐号管理与 ACL 权限设置 的内容，知道系统的帐号主要分为系统管理员 （root） 与一般用户，而这两种身份能否使用系统上面的文件资源则与 rwx 的权限设置有关。 不过你要注意的是，各种权限设置对 root 是无效的。因此，当某个程序想要对文件进行存取时， 系统就会根据该程序的拥有者/群组，并比对文件的权限，若通过权限检查，就可以存取该文件了。

• root 具有最高的权限：如果不小心某支程序被有心人士取得， 且该程序属于 root 的权限，那么这支程序就可以在系统上进行任何资源的存取！真是要命！
• 使用者可以取得程序来变更文件资源的存取权限：如果你不小心将某个目录的权限设置为 777 ，由于对任何人的权限会变成 rwx ，因此该目录就会被任何人所任意存取！

• 以政策规则订定特定程序读取特定文件：委任式存取控制, MAC 现在我们知道 DAC 的困扰就是当使用者取得程序后，他可以借由这支程序与自己默认的权限来处理他自己的文件资源。 万一这个使用者对 Linux 系统不熟，那就很可能会有资源误用的问题产生。为了避免 DAC 容易发生的问题，因此 SELinux 导入了委任式存取控制 （Mandatory Access Control, MAC） 的方法！

• 主体 （Subject）：SELinux 主要想要管理的就是程序，因此你可以将“主体”跟本章谈到的 process 划上等号；
• 目标 （Object）：主体程序能否存取的“目标资源”一般就是文件系统。因此这个目标项目可以等文件系统划上等号；
• 政策 （Policy）：由于程序与文件数量庞大，因此 SELinux 会依据某些服务来制订基本的存取安全性政策。这些政策内还会有详细的规则 （rule） 来指定不同的服务开放某些资源的存取与否。在目前的 CentOS 7.x 里面仅有提供三个主要的政策，分别是：
  • targeted：针对网络服务限制较多，针对本机限制较少，是默认的政策；
  • minimum：由 target 修订而来，仅针对选择的程序来保护！
  • mls：完整的 SELinux 限制，限制方面较为严格。建议使用默认的 targeted 政策即可。
• 安全性本文 （security context）：我们刚刚谈到了主体、目标与政策面，但是主体能不能存取目标除了政策指定之外，主体与目标的安全性本文必须一致才能够顺利存取。 这个安全性本文 （security context） 有点类似文件系统的 rwx 啦！安全性本文的内容与设置是非常重要的！ 如果设置错误，你的某些服务（主体程序）就无法存取文件系统（目标资源），当然就会一直出现“权限不符”的错误讯息了！ 由于 SELinux 重点在保护程序读取文件系统的权限，因此我们将上述的几个说明搭配起来，绘制成下面的流程图，比较好理解：

• 安全性本文 （Security Context） CentOS 7.x 的 target 政策已经帮我们制订好非常多的规则了，因此你只要知道如何打开/关闭某项规则的放行与否即可。 那个安全性本文比较麻烦！因为你可能需要自行设置文件的安全性本文呢！为何需要自行设置啊？ 举例来说，你不也常常进行文件的 rwx 的重新设置吗？这个安全性本文你就将他想成 SELinux 内必备的 rwx 就是了！这样比较好理解啦。

# 先来观察一下 root 主文件夹下面的“文件的 SELinux 相关信息”
[[email protected] ~]# ls -Z
-rw-------. root root system_u:object_r:admin_home_t:s0     anaconda-ks.cfg
-rw-r--r--. root root system_u:object_r:admin_home_t:s0     initial-setup-ks.cfg
-rw-r--r--. root root unconfined_u:object_r:admin_home_t:s0 regular_express.txt
# 上述特殊字体的部分，就是安全性本文的内容！鸟哥仅列出数个默认的文件而已，
# 本书学习过程中所写下的文件则没有列在上头喔！

Identify:role:type
身份识别:角色:类型

• 身份识别 （Identify）：

• unconfined_u：不受限的用户，也就是说，该文件来自于不受限的程序所产生的！一般来说，我们使用可登陆帐号来取得 bash 之后， 默认的 bash 环境是不受 SELinux 管制的～因为 bash 并不是什么特别的网络服务！因此，在这个不受 SELinux 所限制的 bash 程序所产生的文件， 其身份识别大多就是 unconfined_u 这个“不受限”用户啰！
• system_u：系统用户，大部分就是系统自己产生的文件啰！

• 角色 （Role）：

• object_r：代表的是文件或目录等文件资源，这应该是最常见的啰；
• system_r：代表的就是程序啦！不过，一般使用者也会被指定成为 system_r 喔！

• 类型 （Type） （最重要！）：

• type：在文件资源 （Object） 上面称为类型 （Type）；
• domain：在主体程序 （Subject） 则称为领域 （domain） 了！

• 程序与文件 SELinux type 字段的相关性

# 再来观察一下系统“程序的 SELinux 相关信息”
[[email protected] ~]# ps -eZ
LABEL                             PID TTY          TIME CMD
system_u:system_r:init_t:s0         1 ?        00:00:03 systemd
system_u:system_r:kernel_t:s0       2 ?        00:00:00 kthreadd
system_u:system_r:kernel_t:s0       3 ?        00:00:00 ksoftirqd/0
.....（中间省略）.....
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 31513 ? 00:00:00 sshd
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 31535 pts/0 00:00:00 bash
# 基本上程序主要就分为两大类，一种是系统有受限的 system_u:system_r，另一种则可能是用户自己的，
# 比较不受限的程序 （通常是本机用户自己执行的程序），亦即是 unconfined_u:unconfined_r 这两种！

# 1\. 先看看 crond 这个“程序”的安全本文内容：
[[email protected] ~]# ps -eZ | grep cron
system_u:system_r:crond_t:s0-s0:c0.c1023 1338 ? 00:00:01 crond
system_u:system_r:crond_t:s0-s0:c0.c1023 1340 ? 00:00:00 atd
# 这个安全本文的类型名称为 crond_t 格式！
# 2\. 再来瞧瞧可执行文件、配置文件等等的安全本文内容为何！
[[email protected] ~]# ll -Zd /usr/sbin/crond /etc/crontab /etc/cron.d
drwxr-xr-x. root root system_u:object_r:system_cron_spool_t:s0 /etc/cron.d
-rw-r--r--. root root system_u:object_r:system_cron_spool_t:s0 /etc/crontab
-rwxr-xr-x. root root system_u:object_r:crond_exec_t:s0 /usr/sbin/crond

• 首先，我们触发一个可执行的目标文件，那就是具有 crond_exec_t 这个类型的 /usr/sbin/crond 文件；
• 该文件的类型会让这个文件所造成的主体程序 （Subject） 具有 crond 这个领域 （domain）， 我们的政策针对这个领域已经制定了许多规则，其中包括这个领域可以读取的目标资源类型；
• 由于 crond domain 被设置为可以读取 system_cron_spool_t 这个类型的目标文件 （Object）， 因此你的配置文件放到 /etc/cron.d/ 目录下，就能够被 crond 那支程序所读取了；
• 但最终能不能读到正确的数据，还得要看 rwx 是否符合 Linux 权限的规范！ 上述的流程告诉我们几个重点，第一个是政策内需要制订详细的 domain/type 相关性；第二个是若文件的 type 设置错误， 那么即使权限设置为 rwx 全开的 777 ，该主体程序也无法读取目标文件资源的啦！不过如此一来， 也就可以避免使用者将他的主文件夹设置为 777 时所造成的权限困扰。

# 1\. 先假设你因为不熟的缘故，因此是在“root 主文件夹”创建一个如下的 cron 设置：
[[email protected] ~]# vim checktime
10 * * * * root sleep 60s
# 2\. 检查后才发现文件放错目录了，又不想要保留副本，因此使用 mv 移动到正确目录：
[[email protected] ~]# mv checktime /etc/cron.d
[[email protected] ~]# ll /etc/cron.d/checktime
-rw-r--r--. 1 root root 27 Aug  7 18:41 /etc/cron.d/checktime
# 仔细看喔，权限是 644 ，确定没有问题！任何程序都能够读取喔！
# 3\. 强制重新启动 crond ，然后偷看一下登录文件，看看有没有问题发生！
[[email protected] ~]# systemctl restart crond
[[email protected] ~]# tail /var/log/cron
Aug  7 18:46:01 study crond[28174]: （（null）） Unauthorized SELinux context=system_u:system_r:
system_cronjob_t:s0-s0:c0.c1023 file_context=unconfined_u:object_r:admin_home_t:s0 
（/etc/cron.d/checktime）
Aug  7 18:46:01 study crond[28174]: （root） FAILED （loading cron table）
# 上面的意思是，有错误！因为原本的安全本文与文件的实际安全本文无法搭配的缘故！

• enforcing：强制模式，代表 SELinux 运行中，且已经正确的开始限制 domain/type 了；
• permissive：宽容模式：代表 SELinux 运行中，不过仅会有警告讯息并不会实际限制 domain/type 的存取。这种模式可以运来作为 SELinux 的 debug 之用；
• disabled：关闭，SELinux 并没有实际运行。

[[email protected] ~]# ps -eZ | grep -E 'cron|bash'
system_u:system_r:crond_t:s0-s0:c0.c1023 1340 ? 00:00:00 atd
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 13888 tty2 00:00:00 bash
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 28054 pts/0 00:00:00 bash
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 28094 pts/0 00:00:00 bash
system_u:system_r:crond_t:s0-s0:c0.c1023 28174 ? 00:00:00 crond

[[email protected] ~]# getenforce
Enforcing  <==诺！就显示出目前的模式为 Enforcing 啰！

[[email protected] ~]# sestatus [-vb]
选项与参数：
-v  ：检查列于 /etc/sestatus.conf 内的文件与程序的安全性本文内容；
-b  ：将目前政策的规则布林值列出，亦即某些规则 （rule） 是否要启动 （0/1） 之意；
范例一：列出目前的 SELinux 使用哪个政策 （Policy）？
[[email protected] ~]# sestatus
SELinux status:                 enabled           <==是否启动 SELinux
SELinuxfs mount:                /sys/fs/selinux   <==SELinux 的相关文件数据挂载点
SELinux root directory:         /etc/selinux      <==SELinux 的根目录所在
Loaded policy name:             targeted          <==目前的政策为何？
Current mode:                   enforcing         <==目前的模式
Mode from config file:          enforcing         <==目前配置文件内规范的 SELinux 模式
Policy MLS status:              enabled           <==是否含有 MLS 的模式机制
Policy deny_unknown status:     allowed           <==是否默认抵挡未知的主体程序
Max kernel policy version:      28

[[email protected] ~]# vim /etc/selinux/config
SELINUX=enforcing     <==调整 enforcing|disabled|permissive
SELINUXTYPE=targeted  <==目前仅有 targeted, mls, minimum 三种政策

• SELinux 的启动与关闭

[[email protected] ~]# setenforce [0|1]
选项与参数：
0 ：转成 permissive 宽容模式；
1 ：转成 Enforcing 强制模式
范例一：将 SELinux 在 Enforcing 与 permissive 之间切换与观察
[[email protected] ~]# setenforce 0
[[email protected] ~]# getenforce
Permissive
[[email protected] ~]# setenforce 1
[[email protected] ~]# getenforce
Enforcing

• SELinux 各个规则的布林值查询 getsebool

[[email protected] ~]# getsebool [-a] [规则的名称]
选项与参数：
-a  ：列出目前系统上面的所有 SELinux 规则的布林值为打开或关闭值
范例一：查询本系统内所有的布林值设置状况
[[email protected] ~]# getsebool -a
abrt_anon_write --> off
abrt_handle_event --> off
....（中间省略）....
cron_can_relabel --> off                 # 这个跟 cornd 比较有关！
cron_userdomain_transition --> on
....（中间省略）....
httpd_enable_homedirs --> off            # 这当然就是跟网页，亦即 http 有关的啰！
....（下面省略）....
# 这么多的 SELinux 规则喔！每个规则后面都列出现在是允许放行还是不许放行的布林值喔！

• SELinux 各个规则规范的主体程序能够读取的文件 SELinux type 查询 seinfo, sesearch

[[email protected] ~]# yum install /mnt/Packages/setools-console-*

[[email protected] ~]# seinfo [-Atrub]
选项与参数：
-A  ：列出 SELinux 的状态、规则布林值、身份识别、角色、类别等所有信息
-u  ：列出 SELinux 的所有身份识别 （user） 种类
-r  ：列出 SELinux 的所有角色 （role） 种类
-t  ：列出 SELinux 的所有类别 （type） 种类
-b  ：列出所有规则的种类 （布林值）
范例一：列出 SELinux 在此政策下的统计状态
[[email protected] ~]# seinfo
Statistics for policy file: /sys/fs/selinux/policy
Policy Version & Type: v.28 （binary, mls）
   Classes:            83    Permissions:       255
   Sensitivities:       1    Categories:       1024
   Types:            4620    Attributes:        357
   Users:               8    Roles:              14
   Booleans:          295    Cond. Expr.:       346
   Allow:          102249    Neverallow:          0
   Auditallow:        160    Dontaudit:        8413
   Type_trans:      16863    Type_change:        74
   Type_member:        35    Role allow:         30
   Role_trans:        412    Range_trans:      5439
....（下面省略）....
# 从上面我们可以看到这个政策是 targeted ，此政策的安全本文类别有 4620 个；
# 而各种 SELinux 的规则 （Booleans） 共制订了 295 条！

[[email protected] ~]# sesearch [-A] [-s 主体类别] [-t 目标类别] [-b 布林值]
选项与参数：
-A  ：列出后面数据中，允许“读取或放行”的相关数据
-t  ：后面还要接类别，例如 -t httpd_t
-b  ：后面还要接SELinux的规则，例如 -b httpd_enable_ftp_server
范例一：找出 crond_t 这个主体程序能够读取的文件 SELinux type
[[email protected] ~]# sesearch -A -s crond_t | grep spool
   allow crond_t system_cron_spool_t : file { ioctl read write create getattr ..
   allow crond_t system_cron_spool_t : dir { ioctl read getattr lock search op..
   allow crond_t user_cron_spool_t : file { ioctl read write create getattr se..
   allow crond_t user_cron_spool_t : dir { ioctl read write getattr lock add_n..
   allow crond_t user_cron_spool_t : lnk_file { read getattr } ;
# allow 后面接主体程序以及文件的 SELinux type，上面的数据是撷取出来的，
# 意思是说，crond_t 可以读取 system_cron_spool_t 的文件/目录类型～等等！
范例二：找出 crond_t 是否能够读取 /etc/cron.d/checktime 这个我们自订的配置文件？
[[email protected] ~]# ll -Z /etc/cron.d/checktime
-rw-r--r--. root root unconfined_u:object_r:admin_home_t:s0 /etc/cron.d/checktime
# 两个重点，一个是 SELinux type 为 admin_home_t，一个是文件 （file）
[[email protected] ~]# sesearch -A -s crond_t | grep admin_home_t
   allow domain admin_home_t : dir { getattr search open } ;
   allow domain admin_home_t : lnk_file { read getattr } ;
   allow crond_t admin_home_t : dir { ioctl read getattr lock search open } ;
   allow crond_t admin_home_t : lnk_file { read getattr } ;
# 仔细看！看仔细～虽然有 crond_t admin_home_t 存在，但是这是总体的信息，
# 并没有针对某些规则的寻找～所以还是不确定 checktime 能否被读取。但是，基本上就是 SELinux
# type 出问题～因此才会无法读取的！

[[email protected] ~]# semanage boolean -l | grep httpd_enable_homedirs
SELinux boolean                State  Default Description
httpd_enable_homedirs          （off  ,  off）  Allow httpd to enable homedirs
# httpd_enable_homedirs 的功能是允许 httpd 程序去读取使用者主文件夹的意思～
[[email protected] ~]# sesearch -A -b httpd_enable_homedirs
范例三：列出 httpd_enable_homedirs 这个规则当中，主体程序能够读取的文件 SELinux type
Found 43 semantic av rules:
   allow httpd_t home_root_t : dir { ioctl read getattr lock search open } ;
   allow httpd_t home_root_t : lnk_file { read getattr } ;
   allow httpd_t user_home_type : dir { getattr search open } ;
   allow httpd_t user_home_type : lnk_file { read getattr } ;
....（后面省略）....
# 从上面的数据才可以理解，在这个规则中，主要是放行 httpd_t 能否读取使用者主文件夹的文件！
# 所以，如果这个规则没有启动，基本上， httpd_t 这种程序就无法读取使用者主文件夹下的文件！

• 修改 SELinux 规则的布林值 setsebool

[[email protected] ~]# setsebool  [-P]  “规则名称” [0|1]
选项与参数：
-P  ：直接将设置值写入配置文件，该设置数据未来会生效的！
范例一：查询 httpd_enable_homedirs 这个规则的状态，并且修改这个规则成为不同的布林值
[[email protected] ~]# getsebool httpd_enable_homedirs
httpd_enable_homedirs --> off  <==结果是 off ，依题意给他启动看看！
[[email protected] ~]# setsebool -P httpd_enable_homedirs 1 # 会跑很久很久！请耐心等待！
[[email protected] ~]# getsebool httpd_enable_homedirs
httpd_enable_homedirs --> on

• 使用 chcon 手动修改文件的 SELinux type

[[email protected] ~]# chcon [-R] [-t type] [-u user] [-r role] 文件
[[email protected] ~]# chcon [-R] --reference=范例档 文件
选项与参数：
-R  ：连同该目录下的次目录也同时修改；
-t  ：后面接安全性本文的类型字段！例如 httpd_sys_content_t ；
-u  ：后面接身份识别，例如 system_u； （不重要）
-r  ：后面街角色，例如 system_r；     （不重要）
-v  ：若有变化成功，请将变动的结果列出来
--reference=范例档：拿某个文件当范例来修改后续接的文件的类型！
范例一：查询一下 /etc/hosts 的 SELinux type，并将该类型套用到 /etc/cron.d/checktime 上
[[email protected] ~]# ll -Z /etc/hosts
-rw-r--r--. root root system_u:object_r:net_conf_t:s0  /etc/hosts
[[email protected] ~]# chcon -v -t net_conf_t /etc/cron.d/checktime
changing security context of ‘/etc/cron.d/checktime’
[[email protected] ~]# ll -Z /etc/cron.d/checktime
-rw-r--r--. root root unconfined_u:object_r:net_conf_t:s0 /etc/cron.d/checktime
范例二：直接以 /etc/shadow SELinux type 套用到 /etc/cron.d/checktime 上！
[[email protected] ~]# chcon -v --reference=/etc/shadow /etc/cron.d/checktime
[[email protected] ~]# ll -Z /etc/shadow /etc/cron.d/checktime
-rw-r--r--. root root system_u:object_r:shadow_t:s0    /etc/cron.d/checktime
----------. root root system_u:object_r:shadow_t:s0    /etc/shadow

• 使用 restorecon 让文件恢复正确的 SELinux type

[[email protected] ~]# restorecon [-Rv] 文件或目录
选项与参数：
-R  ：连同次目录一起修改；
-v  ：将过程显示到屏幕上
范例三：将 /etc/cron.d/ 下面的文件通通恢复成默认的 SELinux type！
[[email protected] ~]# restorecon -Rv /etc/cron.d
restorecon reset /etc/cron.d/checktime context system_u:object_r:shadow_t:s0->
system_u:object_r:system_cron_spool_t:s0
# 上面这两行其实是同一行喔！表示将 checktime 由 shadow_t 改为 system_cron_spool_t
范例四：重新启动 crond 看看有没有正确启动 checktime 啰！？
[[email protected] ~]# systemctl restart crond
[[email protected] ~]# tail /var/log/cron
# 再去瞧瞧这个 /var/log/cron 的内容，应该就没有错误讯息了

• semanage 默认目录的安全性本文查询与修改

[[email protected] ~]# semanage {login|user|port|interface|fcontext|translation} -l
[[email protected] ~]# semanage fcontext -{a|d|m} [-frst] file_spec
选项与参数：
fcontext ：主要用在安全性本文方面的用途， -l 为查询的意思；
-a ：增加的意思，你可以增加一些目录的默认安全性本文类型设置；
-m ：修改的意思；
-d ：删除的意思。
范例一：查询一下 /etc /etc/cron.d 的默认 SELinux type 为何？
[[email protected] ~]# semanage fcontext -l | grep -E '^/etc |^/etc/cron'
SELinux fcontext         type               Context
/etc                     all files          system_u:object_r:etc_t:s0
/etc/cron\.d（/.*）?       all files          system_u:object_r:system_cron_spool_t:s0

# 1\. 先创建 /srv/mycron 同时在内部放入配置文件，同时观察 SELinux type
[[email protected] ~]# mkdir /srv/mycron
[[email protected] ~]# cp /etc/cron.d/checktime /srv/mycron
[[email protected] ~]# ll -dZ /srv/mycron /srv/mycron/checktime
drwxr-xr-x. root root unconfined_u:object_r:var_t:s0   /srv/mycron
-rw-r--r--. root root unconfined_u:object_r:var_t:s0   /srv/mycron/checktime
# 2\. 观察一下上层 /srv 的 SELinux type
[[email protected] ~]# semanage fcontext -l | grep '^/srv'
SELinux fcontext         type               Context
/srv                     all files          system_u:object_r:var_t:s0
# 怪不得 mycron 会是 var_t 啰！
# 3\. 将 mycron 默认值改为 system_cron_spool_t 啰！
[[email protected] ~]# semanage fcontext -a -t system_cron_spool_t "/srv/mycron（/.*）?"
[[email protected] ~]# semanage fcontext -l | grep '^/srv/mycron'
SELinux fcontext         type               Context
/srv/mycron（/.*）?        all files          system_u:object_r:system_cron_spool_t:s0
# 4\. 恢复 /srv/mycron 以及子目录相关的 SELinux type 喔！
[[email protected] ~]# restorecon -Rv /srv/mycron
[[email protected] ~]# ll -dZ /srv/mycron /srv/mycron/*
drwxr-xr-x. root root unconfined_u:object_r:system_cron_spool_t:s0 /srv/mycron
-rw-r--r--. root root unconfined_u:object_r:system_cron_spool_t:s0 /srv/mycron/checktime
# 有了默认值，未来就不会不小心被乱改了！这样比较妥当些～

• setroubleshoot --> 错误讯息写入 /var/log/messages

[[email protected] ~]# rpm -qa | grep setroubleshoot
setroubleshoot-plugins-3.0.59-1.el7.noarch
setroubleshoot-3.2.17-3.el7.x86_64
setroubleshoot-server-3.2.17-3.el7.x86_64

• 实例状况说明：通过 vsftpd 这个 FTP 服务器来存取系统上的文件

• 匿名者：如果使用浏览器来连线到 FTP 服务器的话，那默认就是使用匿名者登陆系统。而匿名者的主文件夹默认是在 /var/ftp 当中！ 同时，匿名者在主文件夹下只能下载数据，不能上传数据到 FTP 服务器。同时，匿名者无法离开 FTP 服务器的 /var/ftp 目录喔！
• 一般 FTP 帐号：在默认的情况下，所有 UID 大于 1000 的帐号，都可以使用 FTP 来登陆系统！ 而登陆系统之后，所有的帐号都能够取得自己主文件夹下面的文件数据！当然默认是可以上传、下载文件的！

[[email protected] ~]# useradd -s /sbin/nologin ftptest
[[email protected] ~]# echo "myftp123" | passwd --stdin ftptest

[[email protected] ~]# yum install /mnt/Packages/vsftpd-3*
[[email protected] ~]# systemctl start vsftpd
[[email protected] ~]# systemctl enable vsftpd
[[email protected] ~]# netstat -tlnp
Active Internet connections （only servers）
Proto Recv-Q Send-Q Local Address   Foreign Address   State   PID/Program name
tcp        0      0 0.0.0.0:22      0.0.0.0:*         LISTEN  1326/sshd
tcp        0      0 127.0.0.1:25    0.0.0.0:*         LISTEN  2349/master
tcp6       0      0 :::21           :::*              LISTEN  6256/vsftpd
tcp6       0      0 :::22           :::*              LISTEN  1326/sshd
tcp6       0      0 ::1:25          :::*              LISTEN  2349/master
# 要注意看，上面的特殊字体那行有出现，才代表 vsftpd 这只服务有启动喔！！

• 匿名者无法下载的问题

[[email protected] ~]# cp -a /etc/securetty /etc/sysctl.conf /var/ftp/pub
[[email protected] ~]# ll /var/ftp/pub
-rw-------. 1 root root 221 Oct 29  2014 securetty    # 先假设你没有看到这个问题！
-rw-r--r--. 1 root root 225 Mar  6 11:05 sysctl.conf

# 1\. 先看看 FTP 根目录下面有什么文件存在？
[[email protected] ~]# curl ftp://localhost
drwxr-xr-x    2 0        0              40 Aug 08 00:51 pub
# 确实有存在一个名为 pub 的文件喔！那就是在 /var/ftp 下面的 pub 啰！
# 2\. 再往下看看，能不能看到 pub 内的文件呢？
[[email protected] ~]# curl ftp://localhost/pub/  # 因为是目录，要加上 / 才好！
-rw-------    1 0        0             221 Oct 29  2014 securetty
-rw-r--r--    1 0        0             225 Mar 06 03:05 sysctl.conf
# 3\. 承上，继续看一下 sysctl.conf 的内容好了！
[[email protected] ~]# curl ftp://localhost/pub/sysctl.conf
# System default settings live in /usr/lib/sysctl.d/00-system.conf.
# To override those settings, enter new settings here, or in an /etc/sysctl.d/<name>.conf file
#
# For more information, see sysctl.conf（5） and sysctl.d（5）.
# 真的有看到这个文件的内容喔！所以确定是可以让 vsftpd 读取到这文件的！
# 4\. 再来瞧瞧 securetty 好了！
[[email protected] ~]# curl ftp://localhost/pub/securetty
curl: （78） RETR response: 550
# 看不到耶！但是，基本的原因应该是权限问题喔！因为 vsftpd 默认放在 /var/ftp/pub 内的数据，
# 不论什么 SELinux type 几乎都可以被读取的才对喔！所以要这样处理！
# 5\. 修订权限之后再一次观察 securetty 看看！
[[email protected] ~]# chmod a+r /var/ftp/pub/securetty
[[email protected] ~]# curl ftp://localhost/pub/securetty
# 此时你就可以看到实际的文件内容啰！
# 6\. 修订 SELinux type 的内容 （非必备）
[[email protected] ~]# restorecon -Rv /var/ftp

• 无法从主文件夹下载文件的问题分析与解决

# 0\. 为了让 curl 这个文字浏览器可以传输数据，我们先创建一些数据在 ftptest 主文件夹
[[email protected] ~]# echo "testing" > ~ftptest/test.txt
[[email protected] ~]# cp -a /etc/hosts /etc/sysctl.conf ~ftptest/
[[email protected] ~]# ll ~ftptest/
-rw-r--r--. 1 root root 158 Jun  7  2013 hosts
-rw-r--r--. 1 root root 225 Mar  6 11:05 sysctl.conf
-rw-r--r--. 1 root root   8 Aug  9 01:05 test.txt
# 1\. 一般帐号直接登陆 FTP 服务器，同时变换目录到主文件夹去！
[[email protected] ~]# curl ftp://ftptest:[email protected]/~/
-rw-r--r--    1 0        0             158 Jun 07  2013 hosts
-rw-r--r--    1 0        0             225 Mar 06 03:05 sysctl.conf
-rw-r--r--    1 0        0               8 Aug 08 17:05 test.txt
# 真的有数据～看文件最左边的权限也是没问题，所以，来读一下 test.txt 的内容看看
# 2\. 开始下载 test.txt, sysctl.conf 等有权限可以阅读的文件看看！
[[email protected] ~]# curl ftp://ftptest:[email protected]/~/test.txt
curl: （78） RETR response: 550
# 竟然说没有权限！明明我们的 rwx 是正常没问题！那是否有可能是 SELinux 造成的？
# 3\. 先将 SELinux 从 Enforce 转成 Permissive 看看情况！同时观察登录文件
[[email protected] ~]# setenforce 0
[[email protected] ~]# curl ftp://ftptest:[email protected]/~/test.txt
testing
[[email protected] ~]# setenforce 1  # 确定问题后，一定要转成 Enforcing 啊！
# 确定有数据内容！所以，确定就是 SELinux 造成无法读取的问题～那怎办？要改规则？还是改 type？
# 因为都不知道，所以，就检查一下登录文件看看有没有相关的信息可以提供给我们处理！
[[email protected] ~]# vim /var/log/messages
Aug  9 02:55:58 station3-39 setroubleshoot: SELinux is preventing /usr/sbin/vsftpd 
 from lock access on the file /home/ftptest/test.txt. For complete SELinux messages. 
 run sealert -l 3a57aad3-a128-461b-966a-5bb2b0ffa0f9
Aug  9 02:55:58 station3-39 python: SELinux is preventing /usr/sbin/vsftpd from 
 lock access on the file /home/ftptest/test.txt.
*****  Plugin catchall_boolean （47.5 confidence） suggests   ******************
If you want to allow ftp to home dir
Then you must tell SELinux about this by enabling the 'ftp_home_dir' boolean.
You can read 'None' man page for more details.
Do
setsebool -P ftp_home_dir 1
*****  Plugin catchall_boolean （47.5 confidence） suggests   ******************
If you want to allow ftpd to full access
Then you must tell SELinux about this by enabling the 'ftpd_full_access' boolean.
You can read 'None' man page for more details.
Do
setsebool -P ftpd_full_access 1
*****  Plugin catchall （6.38 confidence） suggests   **************************
.....（下面省略）.....
# 基本上，你会看到有个特殊字体的部份，就是 sealert 那一行。虽然下面已经列出可能的解决方案了，
# 就是一堆底线那些东西。至少就有三个解决方案 （最后一个没列出来），哪种才是正确的？
# 为了了解正确的解决方案，我们还是还执行一下 sealert 那行吧！看看情况再说！
# 4\. 通过 sealert 的解决方案来处理问题
[[email protected] ~]# sealert -l 3a57aad3-a128-461b-966a-5bb2b0ffa0f9
SELinux is preventing /usr/sbin/vsftpd from lock access on the file /home/ftptest/test.txt.
# 下面说有 47.5% 的概率是由于这个原因所发生，并且可以使用 setsebool 去解决的意思！
*****  Plugin catchall_boolean （47.5 confidence） suggests   ******************
If you want to allow ftp to home dir
Then you must tell SELinux about this by enabling the 'ftp_home_dir' boolean.
You can read 'None' man page for more details.
Do
setsebool -P ftp_home_dir 1
# 下面说也是有 47.5% 的概率是由此产生的！
*****  Plugin catchall_boolean （47.5 confidence） suggests   ******************
If you want to allow ftpd to full access
Then you must tell SELinux about this by enabling the 'ftpd_full_access' boolean.
You can read 'None' man page for more details.
Do
setsebool -P ftpd_full_access 1
# 下面说，仅有 6.38% 的可信度是由这个情况产生的！
*****  Plugin catchall （6.38 confidence） suggests   **************************
If you believe that vsftpd should be allowed lock access on the test.txt file by default.
Then you should report this as a bug.
You can generate a local policy module to allow this access.
Do
allow this access for now by executing:
# grep vsftpd /var/log/audit/audit.log | audit2allow -M mypol
# semodule -i mypol.pp
# 下面就重要了！是整个问题发生的主因～最好还是稍微瞧一瞧！
Additional Information:
Source Context                system_u:system_r:ftpd_t:s0-s0:c0.c1023
Target Context                unconfined_u:object_r:user_home_t:s0
Target Objects                /home/ftptest/test.txt [ file ]
Source                        vsftpd
Source Path                   /usr/sbin/vsftpd
Port                          <Unknown>
Host                          station3-39.gocloud.vm
Source RPM Packages           vsftpd-3.0.2-9.el7.x86_64
Target RPM Packages
Policy RPM                    selinux-policy-3.13.1-23.el7.noarch
Selinux Enabled               True
Policy Type                   targeted
Enforcing Mode                Permissive
Host Name                     station3-39.gocloud.vm
Platform                      Linux station3-39.gocloud.vm 3.10.0-229.el7.x86_64
                              #1 SMP Fri Mar 6 11:36:42 UTC 2015 x86_64 x86_64
Alert Count                   3
First Seen                    2015-08-09 01:00:12 CST
Last Seen                     2015-08-09 02:55:57 CST
Local ID                      3a57aad3-a128-461b-966a-5bb2b0ffa0f9
Raw Audit Messages
type=AVC msg=audit（1439060157.358:635）: avc:  denied  { lock } for  pid=5029 comm="vsftpd" 
 path="/home/ftptest/test.txt" dev="dm-2" ino=141 scontext=system_u:system_r:ftpd_t:s0-s0:
 c0.c1023 tcontext=unconfined_u:object_r:user_home_t:s0 tclass=file
type=SYSCALL msg=audit（1439060157.358:635）: arch=x86_64 syscall=fcntl success=yes exit=0 
 a0=4 a1=7 a2=7fffceb8cbb0 a3=0 items=0 ppid=5024 pid=5029 auid=4294967295 uid=1001 gid=1001
 euid=1001 suid=1001 fsuid=1001 egid=1001 sgid=1001 fsgid=1001 tty=（none） ses=4294967295
 comm=vsftpd exe=/usr/sbin/vsftpd subj=system_u:system_r:ftpd_t:s0-s0:c0.c1023 key=（null）
Hash: vsftpd,ftpd_t,user_home_t,file,lock

# 1\. 先确认一下 SELinux 的模式，然后再瞧一瞧能否下载 test.txt，最终使用处理方式来解决～
[[email protected] ~]# getenforce
Enforcing
[[email protected] ~]# curl ftp://ftptest:[email protected]/~/test.txt
curl: （78） RETR response: 550
# 确定还是无法读取的喔！
[[email protected] ~]# setsebool -P ftp_home_dir 1
[[email protected] ~]# curl ftp://ftptest:[email protected]/~/test.txt
testing
# OK！太赞了！处理完毕！现在使用者可以在自己的主文件夹上传/下载文件了！
# 2\. 开始下载其他文件试看看啰！
[[email protected] ~]# curl ftp://ftptest:[email protected]/~/sysctl.conf
# System default settings live in /usr/lib/sysctl.d/00-system.conf.
# To override those settings, enter new settings here, or in an /etc/sysctl.d/<name>.conf file
#
# For more information, see sysctl.conf（5） and sysctl.d（5）.

• 一般帐号用户从非正规目录上传/下载文件

# 1\. 先处理好所需要的目录数据
[[email protected] ~]# mkdir /srv/gogogo
[[email protected] ~]# chgrp ftptest /srv/gogogo
[[email protected] ~]# echo "test" > /srv/gogogo/test.txt
# 2\. 开始直接使用 ftp 观察一下数据！
[[email protected] ~]# curl ftp://ftptest:[email protected]//srv/gogogo/test.txt
curl: （78） RETR response: 550
# 有问题喔！来瞧瞧登录文件怎么说！
[[email protected] ~]# grep sealert /var/log/messages | tail
Aug  9 04:23:12 station3-39 setroubleshoot: SELinux is preventing /usr/sbin/vsftpd from
 read access on the file test.txt. For complete SELinux messages. run sealert -l
 08d3c0a2-5160-49ab-b199-47a51a5fc8dd
[[email protected] ~]# sealert -l 08d3c0a2-5160-49ab-b199-47a51a5fc8dd
SELinux is preventing /usr/sbin/vsftpd from read access on the file test.txt.
# 虽然这个可信度比较高～不过，因为会全部放行 FTP ，所以不太考虑！
*****  Plugin catchall_boolean （57.6 confidence） suggests   ******************
If you want to allow ftpd to full access
Then you must tell SELinux about this by enabling the 'ftpd_full_access' boolean.
You can read 'None' man page for more details.
Do
setsebool -P ftpd_full_access 1
# 因为是非正规目录的使用，所以这边加上默认 SELinux type 恐怕会是比较正确的选择！
*****  Plugin catchall_labels （36.2 confidence） suggests   *******************
If you want to allow vsftpd to have read access on the test.txt file
Then you need to change the label on test.txt
Do
# semanage fcontext -a -t FILE_TYPE 'test.txt'
where FILE_TYPE is one of the following: NetworkManager_tmp_t, abrt_helper_exec_t, abrt_tmp_t,
 abrt_upload_watch_tmp_t, abrt_var_cache_t, abrt_var_run_t, admin_crontab_tmp_t, afs_cache_t,
 alsa_home_t, alsa_tmp_t, amanda_tmp_t, antivirus_home_t, antivirus_tmp_t, apcupsd_tmp_t, ...
Then execute:
restorecon -v 'test.txt'
*****  Plugin catchall （7.64 confidence） suggests   **************************
If you believe that vsftpd should be allowed read access on the test.txt file by default.
Then you should report this as a bug.
You can generate a local policy module to allow this access.
Do
allow this access for now by executing:
# grep vsftpd /var/log/audit/audit.log | audit2allow -M mypol
# semodule -i mypol.pp
Additional Information:
Source Context                system_u:system_r:ftpd_t:s0-s0:c0.c1023
Target Context                unconfined_u:object_r:var_t:s0
Target Objects                test.txt [ file ]
Source                        vsftpd
.....（下面省略）.....

# 3\. 先查看一下 /var/ftp 这个地方的 SELinux type 吧！
[[email protected] ~]# ll -Zd /var/ftp
drwxr-xr-x. root root system_u:object_r:public_content_t:s0 /var/ftp
# 4\. 以 sealert 建议的方法来处理好 SELinux type 啰！
[[email protected] ~]# semanage fcontext -a -t public_content_t "/srv/gogogo（/.*）?"
[[email protected] ~]# restorecon -Rv /srv/gogogo
[[email protected] ~]# curl ftp://ftptest:[email protected]//srv/gogogo/test.txt
test
# 喔耶！终于再次搞定喔！

• 无法变更 FTP 连线端口问题分析与解决

# 1\. 先处理 vsftpd 的配置文件，加入换 port 的参数才行！
[[email protected] ~]# vim /etc/vsftpd/vsftpd.conf
# 请按下大写的 G 跑到最后一行，然后新增加下面这行设置！前面不可以留白！
listen_port=555
# 2\. 重新启动 vsftpd 并且观察登录文件的变化！
[[email protected] ~]# systemctl restart vsftpd
[[email protected] ~]# grep sealert /var/log/messages
Aug  9 06:34:46 station3-39 setroubleshoot: SELinux is preventing /usr/sbin/vsftpd from
 name_bind access on the tcp_socket port 555\. For complete SELinux messages. run
 sealert -l 288118e7-c386-4086-9fed-2fe78865c704
[[email protected] ~]# sealert -l 288118e7-c386-4086-9fed-2fe78865c704
SELinux is preventing /usr/sbin/vsftpd from name_bind access on the tcp_socket port 555.
*****  Plugin bind_ports （92.2 confidence） suggests   ************************
If you want to allow /usr/sbin/vsftpd to bind to network port 555
Then you need to modify the port type.
Do
# semanage port -a -t PORT_TYPE -p tcp 555
    where PORT_TYPE is one of the following: certmaster_port_t, cluster_port_t,
 ephemeral_port_t, ftp_data_port_t, ftp_port_t, hadoop_datanode_port_t, hplip_port_t,
 port_t, postgrey_port_t, unreserved_port_t.
.....（后面省略）.....
# 看一下信任度，高达 92.2% 耶！几乎就是这家伙～因此不必再看～就是他了！比较重要的是，
# 解决方案里面，那个 PORT_TYPE 有很多选择～但我们是要打开 FTP 端口嘛！所以，
# 就由后续数据找到 ftp_port_t 那个项目啰！带入实验看看！
# 3\. 实际带入 SELinux 端口修订后，在重新启动 vsftpd 看看
[[email protected] ~]# semanage port -a -t ftp_port_t -p tcp 555
[[email protected] ~]# systemctl restart vsftpd
[[email protected] ~]# netstat -tlnp
Active Internet connections （only servers）
Proto Recv-Q Send-Q Local Address    Foreign Address   State    PID/Program name
tcp        0      0 0.0.0.0:22       0.0.0.0:*         LISTEN   1167/sshd
tcp        0      0 127.0.0.1:25     0.0.0.0:*         LISTEN   1598/master
tcp6       0      0 :::555           :::*              LISTEN   8436/vsftpd
tcp6       0      0 :::22            :::*              LISTEN   1167/sshd
tcp6       0      0 ::1:25           :::*              LISTEN   1598/master
# 4\. 实验看看这个 port 能不能用？
[[email protected] ~]# curl ftp://localhost:555/pub/
-rw-r--r--    1 0        0             221 Oct 29  2014 securetty
-rw-r--r--    1 0        0             225 Mar 06 03:05 sysctl.conf