如何根据log 信息修改SELinux 权限

当出现 SELinux 权限不足时，可根据LOG 信息提示进行相应的修改。下面介绍如何根据 kernel log 来查看信息

1. disable selinux

在终端下

su
setenforce 0

该操作主要是为了禁用系统SELinux，让权限暂时通过。但是依然是会输出 SELinux 校验时的LOG。后面根据输出的LOG 进行相应的处理。

2. 查看kernel log

复现问题，导出 kernel log.

或者 adb shell su 之后输入 cat /dev/kmsg | grep avc 在控制台输出关键信息

kernel 日志的输出在 /dev/kmsg 节点下，avc 是 SELinux 打印的信息

如：

5,4978,791423968,-;audit: type=1400 audit(1556096333.959:26): avc:  denied  { write } for  pid=5106 comm="Log_LogStrategy" name="Logs_Collector" dev="mmcblk0p40" ino=16321 scontext=u:r:system_app:s0 tcontext=u:object_r:system_data_file:s0 tclass=dir permissive=1
5,4979,791424019,-;audit: type=1400 audit(1556096333.959:27): avc:  denied  { add_name } for  pid=5106 comm="Log_LogStrategy" name="amefrktoukgokiph_20190424165853.zip" scontext=u:r:system_app:s0 tcontext=u:object_r:system_data_file:s0 tclass=dir permissive=1
5,4980,791424176,-;audit: type=1400 audit(1556096333.959:28): avc:  denied  { create } for  pid=5106 comm="Log_LogStrategy" name="amefrktoukgokiph_20190424165853.zip" scontext=u:r:system_app:s0 tcontext=u:object_r:system_data_file:s0 tclass=file permissive=1
5,4981,791425437,-;audit: type=1400 audit(1556096333.959:29): avc:  denied  { write } for  pid=5106 comm="Log_LogStrategy" path="/data/Logs_Collector/amefrktoukgokiph_20190424165853.zip" dev="mmcblk0p40" ino=16331 scontext=u:r:system_app:s0 tcontext=u:object_r:system_data_file:s0 tclass=file permissive=1
5,4982,797691545,-;audit: type=1400 audit(1556096340.229:30): avc:  denied  { remove_name } for  pid=5086 comm="xtc.systemagent" name="amefrktoukgokiph_20190424165853.zip" dev="mmcblk0p40" ino=16331 scontext=u:r:system_app:s0 tcontext=u:object_r:system_data_file:s0 tclass=dir permissive=1
5,4983,797691614,-;audit: type=1400 audit(1556096340.229:31): avc:  denied  { rename } for  pid=5086 comm="xtc.systemagent" name="amefrktoukgokiph_20190424165853.zip" dev="mmcblk0p40" ino=16331 scontext=u:r:system_app:s0 tcontext=u:object_r:system_data_file:s0 tclass=file permissive=1
5,4984,797693717,-;audit: type=1400 audit(1556096340.229:32): avc:  denied  { unlink } for  pid=5086 comm="xtc.systemagent" name="1556096340234" dev="mmcblk0p40" ino=16331 scontext=u:r:system_app:s0 tcontext=u:object_r:system_data_file:s0 tclass=file permissive=1

3. 修改te 文件

3.1 找到对应的domain

如：

scontext=u:r:system_app:s0

domain 为 system_app，所以需要修改 system/sepolicy/system_app.te 文件

3.2 找到 target 和 Object Class

如：

tcontext=u:object_r:system_data_file:s0 tclass=dir

target 为 system_data_file, object class 为 dir

3.3 找到缺失的权限

如：

denied  { add_name }

缺失的权限为： add_name

3.4 最后整合整个缺失的权限，统一处理

最后针对上面的权限提示修改的 system/sepolicy/system_app.te 为，增加如下内容：

allow system_app system_data_file:dir { add_name remove_name rw_dir_perms };
allow system_app system_data_file:file { create rename unlink rw_file_perms };

格式(分号结尾)

allow scontext tcontext:tclass { perm };

4. 检查是否违反了 `neverallow`

可以先进行尝试编译，若有违反 neverallow 的 SELinux 定义，会编译不通过，同时会提示哪个 te 文件中定义的 neverallow 冲突了。

如上面的修改会导致 system/sepolicy/app.te 文件中的 neverallow 规则有冲突。

原先冲突的 nerverallow 定义为：

# Write to system-owned parts of /data.
# This is the default type for anything under /data not otherwise
# specified in file_contexts.  Define a different type for portions
# that should be writable by apps.
neverallow { appdomain} system_data_file:dir_file_class_set
    { create write setattr relabelfrom relabelto append unlink link rename };

这里定义了不允许 system_data_file 的 target 进行 create write unlink 等操作

此时解决方法是，需要过滤去除掉我们需要的 domain

进行修改如下：

neverallow { appdomain -system_app }
    system_data_file:dir_file_class_set
    { create write setattr relabelfrom relabelto append unlink link rename };

加上 -system_app 的排除语法。

5. 重编系统

至此根据 kernel log 信息提取权限完成，重新编译系统。

SELinux 权限