SELinux：获取自定义二进制文件以切换到另一个上下文

Question

由于参考了大量的参考资料，我最终实现了转换 - 事实上它非常简单，我想您可以说它与良好编程的基本规则有关？

在问题中我发布的政策中，我定义了两种新类型：

type testprog_t;
type testprog_exec_t;

然后继续允许这些类型发生各种事情，并指定类型转换：

allow testprog_t fs_t:filesystem getattr;
allow testprog_t testprog_exec_t : file { ioctl read getattr lock execute execute_no_trans entrypoint open } ;
type_transition unconfined_t testprog_exec_t : process testprog_t;
allow unconfined_t testprog_t : process transition ;

但是，我从来没有真正告诉过 SELinux 这些类型到底是什么。例如，我将文件的上下文设置/usr/bin/testprog为system_u:object_r:testprog_exec_t:s0，但我从未通过我的策略真正告诉 SELinux testprog_exec_t 是一个文件。当我通过添加类型规范更改策略时，事情开始变得更加有希望。我还需要使用角色语句来允许在目标 SELinux 模式下在 RHEL 系统上 shell 命令通常运行的角色testprog_t下运行unconfined_r。与此相关的策略的当前片段如下所示：

# Define our new types that testprog will use, and ensure that we tell the policy that testprog_exec_t is a file
type testprog_t;
domain_type(testprog_t);
type testprog_exec_t;
files_type(testprog_exec_t);
type testprog_etc_t;
files_type(testprog_etc_t);
type testprog_var_run_t;
files_type(testprog_var_run_t);
type testprog_data_t;
files_type(testprog_data_t);

# Allow the testprog_t type under the unconfined_r role
role unconfined_r types testprog_t;

# Tell SELinux that testprog_exec_t is an entrypoint to the tetprog_t domain
allow testprog_t testprog_exec_t : file { ioctl read getattr lock execute execute_no_trans entrypoint open } ;
# Make the type transition from unconfined_t (i.e. user shell) to testprog_t
type_transition unconfined_t testprog_exec_t : process testprog_t;
# Explicitly allow the type transition we have just created
allow unconfined_t testprog_t : process transition ;

完成此操作后，类型转换就完美地发生了，完成策略的工作就变成了sealert探索程序的行为并制定正确的策略以使其按预期工作。

我希望整理一个完整的工作示例，该示例是一个非 SELinux 感知应用程序，需要在它自己的受限上下文中运行，而不是为我的同事（以及任何需要它的人）不受限制地运行 - 现在它还很粗略，但如果有人有兴趣跟踪它，你可以在这里找到代码：

https://github.com/jamesfreeman959/selinux-testprog

Answer 1