SELinux Policy - Versionsgeschichte

Thomas.will: /* Regelstruktur */

2023-01-17T13:00:57Z

Regelstruktur

Linkai.zhang am 12. Januar 2023 um 10:30 Uhr

2023-01-12T10:30:33Z

Linkai.zhang am 12. Januar 2023 um 10:16 Uhr

2023-01-12T10:16:11Z

Linkai.zhang am 12. Januar 2023 um 10:14 Uhr

2023-01-12T10:14:09Z

Linkai.zhang am 12. Januar 2023 um 10:13 Uhr

2023-01-12T10:13:33Z

Linkai.zhang am 12. Januar 2023 um 10:12 Uhr

2023-01-12T10:12:06Z

Linkai.zhang am 12. Januar 2023 um 10:11 Uhr

2023-01-12T10:11:43Z

Linkai.zhang am 11. Januar 2023 um 14:35 Uhr

2023-01-11T14:35:18Z

Linkai.zhang am 11. Januar 2023 um 09:53 Uhr

2023-01-11T09:53:39Z

Linkai.zhang am 11. Januar 2023 um 09:53 Uhr

2023-01-11T09:53:13Z

@@ Zeile 3: / Zeile 3: @@
 * sesearch -t ping_t -c tcp_socket --allow -dt
 <!----->
@@ Zeile 14: / Zeile 17: @@
 <!----->
 <span id="regeln-suchen"></span>
 = Regeln suchen =

@@ Zeile 171: / Zeile 171: @@
   /var/lib/nocpulse/\.ssh(/.*)?   system_u:object_r:ssh_home_t:s0
   /var/lib/one/\.ssh(/.*)?                system_u:object_r:ssh_home_t:s0
-''ssh.mod'' enthält alle allow-Regeln, Booleans, Rollen, Typen, etc. in binärer Form + sedismod ssh.mod
+''ssh.mod'' enthält alle allow-Regeln, Booleans, Rollen, Typen, etc. in binärer Form
 <!----->

@@ Zeile 156: / Zeile 156: @@
 <!----->
-''ssh.fc'' enthält die file-contexts + head ssh.fc
+''ssh.fc'' enthält die file-contexts
 <!----->
 ''ssh.mod'' enthält alle allow-Regeln, Booleans, Rollen, Typen, etc. in binärer Form + sedismod ssh.mod

@@ Zeile 214: / Zeile 214: @@
     allow sshd_t [security_t] : [lnk_file] { read getattr };
   ...
-* bedingte Regeln conditional avtab: — begin avrule block — decl 1: expression: use_samba_home_dirs current state: 0 True list: allow chroot_user_t [cifs_t] : [lnk_file] { read getattr }; allow chroot_user_t [cifs_t] : [dir] { getattr open search }; allow chroot_user_t [cifs_t] : [dir] { ioctl read getattr lock open search }; allow chroot_user_t [cifs_t] : [file] { ioctl read getattr lock open }; allow chroot_user_t [cifs_t] : [dir] { getattr open search }; allow chroot_user_t [cifs_t] : [dir] { ioctl read getattr lock open search }; …
+* bedingte Regeln

@@ Zeile 200: / Zeile 200: @@
   Command ('m' for menu):
 * Die Regeln kann man mit 1 oder 2 anschauen
 <!----->
@@ Zeile 213: / Zeile 214: @@
     allow sshd_t [security_t] : [lnk_file] { read getattr };
   ...
+* bedingte Regeln conditional avtab: — begin avrule block — decl 1: expression: use_samba_home_dirs current state: 0 True list: allow chroot_user_t [cifs_t] : [lnk_file] { read getattr }; allow chroot_user_t [cifs_t] : [dir] { getattr open search }; allow chroot_user_t [cifs_t] : [dir] { ioctl read getattr lock open search }; allow chroot_user_t [cifs_t] : [file] { ioctl read getattr lock open }; allow chroot_user_t [cifs_t] : [dir] { getattr open search }; allow chroot_user_t [cifs_t] : [dir] { ioctl read getattr lock open search }; …

← Nächstältere Version		Version vom 12. Januar 2023, 10:11 Uhr
Zeile 146:		Zeile 146:
	accept		accept
	}		}
		+	<span id="installierte-policy-module-anschauen"></span>
		+	= Installierte Policy Module anschauen =
		+
		+	* Die Policy Module liegen in kompilierte Form vor
		+	* Man kann geladene Module extrahieren und dekompilieren
		+	* semodule -l \| grep ssh
		+	* semodule -E ssh
		+	* semodule_unpackage ssh.pp ssh.mod ssh.fc
		+
		+	<!----->
		+	''ssh.fc'' enthält die file-contexts + head ssh.fc
		+
		+	<!----->
		+	''ssh.mod'' enthält alle allow-Regeln, Booleans, Rollen, Typen, etc. in binärer Form + sedismod ssh.mod
		+
		+	<!----->
		+	Reading policy...
		+	libsepol.policydb_index_others: security: 0 users, 2 roles, 313 types, 13 bools
		+	libsepol.policydb_index_others: security: 1 sens, 1024 cats
		+	libsepol.policydb_index_others: security: 112 classes, 0 rules, 0 cond rules
		+	libsepol.policydb_index_others: security: 0 users, 2 roles, 313 types, 13 bools
		+	libsepol.policydb_index_others: security: 1 sens, 1024 cats
		+	libsepol.policydb_index_others: security: 112 classes, 0 rules, 0 cond rules
		+	Binary policy module file loaded.
		+	Module name: ssh
		+	Module version: 2.4.2
		+	Policy version: 21
		+
		+
		+	Select a command:
		+	1) display unconditional AVTAB
		+	2) display conditional AVTAB
		+	3) display users
		+	4) display bools
		+	5) display roles
		+	6) display types, attributes, and aliases
		+	7) display role transitions
		+	8) display role allows
		+	9) Display policycon
		+	0) Display initial SIDs
		+
		+	a) Display avrule requirements
		+	b) Display avrule declarations
		+	c) Display policy capabilities
		+	l) Link in a module
		+	u) Display the unknown handling setting
		+	F) Display filename_trans rules
		+
		+	f) set output file
		+	m) display menu
		+	q) quit
		+
		+	Command ('m' for menu):
		+	* Die Regeln kann man mit 1 oder 2 anschauen
		+
		+	<!----->
		+	unconditional avtab:
		+	--- begin avrule block ---
		+	decl 1:
		+	allow ssh_keygen_t ssh_keygen_exec_t : [file] { entrypoint };
		+	allow ssh_keygen_t ssh_keygen_exec_t : [file] { ioctl read getattr lock map execute open };
		+	type_transition [initrc_domain] ssh_keygen_exec_t : [process] ssh_keygen_t;
		+	allow sshd_keygen_t sshd_keygen_exec_t : [file] { entrypoint };
		+	allow sshd_keygen_t sshd_keygen_exec_t : [file] { ioctl read getattr lock map execute open };
		+	type_transition [initrc_domain] sshd_keygen_exec_t : [process] sshd_keygen_t;
		+	allow sshd_t [security_t] : [lnk_file] { read getattr };
		+	...
		+
		+	conditional avtab:
		+	--- begin avrule block ---
		+	decl 1:
		+	expression: use_samba_home_dirs current state: 0
		+	True list:
		+	allow chroot_user_t [cifs_t] : [lnk_file] { read getattr };
		+	allow chroot_user_t [cifs_t] : [dir] { getattr open search };
		+	allow chroot_user_t [cifs_t] : [dir] { ioctl read getattr lock open search };
		+	allow chroot_user_t [cifs_t] : [file] { ioctl read getattr lock open };
		+	allow chroot_user_t [cifs_t] : [dir] { getattr open search };
		+	allow chroot_user_t [cifs_t] : [dir] { ioctl read getattr lock open search };
		+	...

@@ Zeile 76: / Zeile 76: @@
   allow ping_t dhcpc_t:fd use;
   allow ping_t dhcpc_t:fifo_file { append getattr ioctl lock read write };
-* sesearch -s ping_t ---ds | grep socket
+* sesearch -s ping_t --allow -ds | grep socket
 <!----->

@@ Zeile 63: / Zeile 63: @@
 == Berechtigungen von ''ping_t'' anzeigen ==
-* sesearch -s ping_t –allow -ds | head
+* sesearch -s ping_t --allow -ds | head
 <!----->