SELinux User - Versionsgeschichte

Linkai.zhang am 11. Oktober 2024 um 07:47 Uhr

2024-10-11T07:47:26Z

2022-11-29T11:31:55Z

2022-11-29T11:31:35Z

2022-11-29T09:12:19Z

2022-11-29T09:05:48Z

2022-11-29T09:03:19Z

2022-11-29T08:52:00Z

2022-11-29T08:45:40Z

2022-11-29T08:36:38Z

2022-11-29T08:36:22Z

← Nächstältere Version		Version vom 11. Oktober 2024, 07:47 Uhr
Zeile 1:		Zeile 1:
		+	[[Kategorie:SELinux]]
	<span id="selinux-kontext-des-aktuellen-benutzers-ausgeben"></span>		<span id="selinux-kontext-des-aktuellen-benutzers-ausgeben"></span>
	= SELinux-Kontext des aktuellen Benutzers ausgeben =		= SELinux-Kontext des aktuellen Benutzers ausgeben =

@@ Zeile 1: / Zeile 1: @@
-<span id="selinux-kontext-des-jetztigen-benutzers-ausgeben"></span>
+<span id="selinux-kontext-des-aktuellen-benutzers-ausgeben"></span>
-= SELinux-Kontext des jetztigen Benutzers ausgeben =
+= SELinux-Kontext des aktuellen Benutzers ausgeben =
 * id -Z ''(Ausgangseinstellung für jeden Benutzer)'':

@@ Zeile 1: / Zeile 1: @@
-<span id="selinux-kontext-des-jetzigen-benutzers-ausgeben"></span>
+<span id="selinux-kontext-des-jetztigen-benutzers-ausgeben"></span>
-= SELinux-Kontext des jetzigen Benutzers ausgeben =
+= SELinux-Kontext des jetztigen Benutzers ausgeben =
 * id -Z ''(Ausgangseinstellung für jeden Benutzer)'':

← Nächstältere Version		Version vom 29. November 2022, 09:12 Uhr
Zeile 192:		Zeile 192:
	1 packets transmitted, 1 received, 0% packet loss, time 0ms		1 packets transmitted, 1 received, 0% packet loss, time 0ms
	rtt min/avg/max/mdev = 3.751/3.751/3.751/0.000 ms		rtt min/avg/max/mdev = 3.751/3.751/3.751/0.000 ms
		+	<span id="ausgangszustand-wiederherstellen"></span>
		+	= Ausgangszustand wiederherstellen =
		+
		+	''my_user_ping''-Modul deinstallieren:
		+
		+	* semodule -r my_user_ping
		+
		+	<!----->
		+	User-Ping über SELinux-Booleans wieder freischalten:
		+
		+	* setsebool user_ping 1
		+
		+	<!----->
		+	Den Benutzer ''xinux'' wieder zum ''unconfined_u'' machen:
		+
		+	* semanage login -d xinux

← Nächstältere Version		Version vom 29. November 2022, 09:05 Uhr
Zeile 167:		Zeile 167:
	'''allow user_t self:rawip_socket { create getopt read setopt write };'''		'''allow user_t self:rawip_socket { create getopt read setopt write };'''
	allow user_t self:capability net_raw;		allow user_t self:capability net_raw;
		+	* make -f /usr/share/selinux/devel/Makefile my_user_ping.pp
		+	* semodule -i my_user_ping.pp
		+
		+	<!----->
		+	<span id="pingen-als-xinux"></span>
		+	== Pingen als ''xinux'' ==
		+
		+	* ping localhost
		+
		+	<!----->
		+	PING localhost(localhost (::1)) 56 data bytes
		+	64 bytes from localhost (::1): icmp_seq=1 ttl=64 time=0.073 ms
		+
		+	--- localhost ping statistics ---
		+	1 packets transmitted, 1 received, 0% packet loss, time 0ms
		+	rtt min/avg/max/mdev = 0.073/0.073/0.073/0.000 ms
		+	* ping heise.de
		+
		+	<!----->
		+	PING heise.de (193.99.144.80) 56(84) bytes of data.
		+	64 bytes from redirector.heise.de (193.99.144.80): icmp_seq=1 ttl=245 time=3.75 ms
		+
		+	--- heise.de ping statistics ---
		+	1 packets transmitted, 1 received, 0% packet loss, time 0ms
		+	rtt min/avg/max/mdev = 3.751/3.751/3.751/0.000 ms

← Nächstältere Version		Version vom 29. November 2022, 09:03 Uhr
Zeile 119:		Zeile 119:
	* make -f /usr/share/selinux/devel/Makefile my_user_ping.pp		* make -f /usr/share/selinux/devel/Makefile my_user_ping.pp
	* semodule -i my_user_ping.pp		* semodule -i my_user_ping.pp
		+
		+	<!----->
		+	<span id="ping-nochmals-testen"></span>
		+	=== '''ping''' nochmals testen ===
		+
		+	Als ''xinux'':
		+
		+	* ping localhost
		+
		+	<!----->
		+	ping: IPV6_RECVERR: Keine Berechtigung
		+	* ping heise.de
		+
		+	<!----->
		+	ping: WARNING: setsockopt(ICMP_FILTER): Keine Berechtigung
		+	ping: WARNING: your kernel is veeery old. No problems.
		+	PING heise.de (193.99.144.80) 56(84) bytes of data.
		+	ping: Warning: no SO_TIMESTAMP support, falling back to SIOCGSTAMP
		+	ping: sendmsg: Keine Berechtigung
		+	<span id="letze-rechte-freigeben"></span>
		+	== Letze Rechte freigeben ==
		+
		+	* ausearch -m AVC -ts recent \| audit2allow -R
		+
		+	<!----->
		+	require {
		+	type user_t;
		+	class rawip_socket { getopt read setopt write };
		+	}
		+
		+	#============= user_t ==============
		+	allow user_t self:rawip_socket { getopt read setopt write };
		+	* cat my_user_ping.te
		+
		+	<!----->
		+	module my_user_ping 1.0;
		+
		+	require {
		+	type user_t;
		+	class icmp_socket create;
		+	'''class rawip_socket { create getopt read setopt write };'''
		+	class capability net_raw;
		+	}
		+
		+	#============= user_t ==============
		+	allow user_t self:icmp_socket create;
		+	'''allow user_t self:rawip_socket { create getopt read setopt write };'''
		+	allow user_t self:capability net_raw;

@@ Zeile 30: / Zeile 30: @@
 == Bedeutung dieser Fehlermeldung ==
-'''ping''' sagt, dass der Socket keine Berechtigung hat:
+'''ping''' sagt, dass der Socket keine Berechtigung hat.
 Den genauen Verstoß kann man mit '''ausearch''' anzeigen und die Behebung mit '''audit2allow''':
@@ Zeile 72: / Zeile 72: @@
 == Weitere Rechte freigeben ==
-Wenn ''xinux'' jetzt versucht '''ping''' zu benutzen, dann kommt folgende Meldung: + ping localhost
+Wenn ''xinux'' jetzt versucht '''ping''' zu benutzen, dann kommt folgende Meldung:
 <!----->
   ping: socket: Die Operation ist nicht erlaubt
-Diagnose
+Diagnose:

@@ Zeile 30: / Zeile 30: @@
 == Bedeutung dieser Fehlermeldung ==
-* '''ping''' sagt, dass der Socket keine Berechtigung hat
+'''ping''' sagt, dass der Socket keine Berechtigung hat:
-* Den genauen Verstoß kann man mit '''ausearch''' anzeigen und die Behebung mit '''audit2allow''':
 * ausearch -m AVC -ts recent
@@ Zeile 63: / Zeile 65: @@
 * In diesem Fall ist der Vorschlag von '''audit2allow''' relativ sinnvoll, da der ''icmp_socket'' schon vordefiniert ist.

@@ Zeile 47: / Zeile 47: @@
   time->Tue Nov 29 09:02:06 2022
   type=AVC msg=audit(1669708926.962:632): avc:  denied  { create } for  pid=13973 comm="ping" scontext=user_u:user_r:user_t:s0 tcontext=user_u:user_r:user_t:s0 tclass=rawip_socket permissive=0
+* ausearch -m AVC -ts recent | audit2allow -R
- + ausearch -m AVC -ts recent | audit2allow -R
+<!----->
   require {
           type user_t;