哎呀，今天我想跟巨大家唠唠那东西叫SELinux的东西。hen许多人问我，这玩意儿SELinux到底是啥玩意儿？是不是个杀毒柔软件？或者是个防火墙？其实dou不是它geng像是一个管家，一个特别死板、特别喜欢挑刺的管家。Ru果你没在它的名单上，就算你是巨大老板，他也敢把你给拦在门外。真实是绝了！

一、到底啥是SELinux啊？

先说说得说全名， Security-Enhanced Linux，中文翻译就是“平安增有力型Linux”。听起来hen高大巨大上吧？其实就是美国国平安局那帮人觉得原来的Linux不够平安，怕被黑客给搞了就搞了这玩意儿内核模块。它不是个单独的柔软件，而是直接塞进Linux内核里的一个子系统。

轻巧松说吧，一般的Linux权限管理叫DAC，就是kan文件是谁的，谁有权读写。但这玩意儿太轻巧松了万一有个程序被黑了且它是用root运行的，那整个电脑就完蛋了。所以SELinux来了！它用的是MAC。不管你是谁，只要策略里没写你Neng干这事，你就得给我等着！这就是它的独特之处。这就优良比你在公司里虽然是经理，但Ru果你没拿到仓库的钥匙，你也不Neng进去拿东西。

那东西所谓的“Zui细小权限原则”

这里有个词叫“Zui细小权限原则”，听着像数学题。其实就是：给你几许多权力就干几许多活。比如一个网页服务进程， 它只需要读网页文件就行了它凭啥要去读你的密码文件 /etc/shadow 呢？SELinux就会盯着它，一旦它想去碰不该碰的东西，“啪”的一下就被扇回来了。

二、这玩意儿怎么干活滴？

我想起来kan过一些资料说这玩意儿用的是“域-类型模型”。说白了就是给全部东西打标签。进程有个标签，文件有个标签。当进程想访问文件时内核会查一张巨大表：Neng不NengZuo？Ru果表里没写允许 $\rightarrow$ 不要！

这里面有三个校验步骤： 1. 先kan老一套的rwx权限行不行 $\checkmark$ 2. 再kanSELinux的策略规则行不行 $\checkmark$ 3. 再说说kan两边的平安上下文标号对不对得上 $\checkmark$ 只要有一个不通过你就得kan着屏幕发呆。

三种模式：选哪个才不崩溃？

hen许多新鲜手安装完系统找到柔软件跑不起来, 就赶紧去搜怎么关掉它。其实它有三种模式：

• Enforcing : Zui狠的模式。不听话直接拦截并记录日志。生产周围得用这玩意儿才有平安感。
• Permissive : 比比kan温柔。虽然你违规了我也拦你不了但我会在日志里记下来：“你kan这家伙刚才想干恶劣事！”这对调试hen有用。
• Disabled : 直接关机歇着。彻头彻尾没用了, 相当于不存在一样。hen许多懒人直接选这玩意儿, 但这样系统就裸奔了 $\dots$

三、为啥我们要用这东西？有啥优良处吗？

兴许有人会说：“我特么为了装个Nginx得调半天SELinux策略, 太痛苦了, 关掉不就完了吗？” 但是！你要晓得眼下的黑客有许多猛。Ru果你的Web服务有个漏洞被利用了, 黑客拿到了Web服务的权限, Ru果没有SELinux, 他兴许直接横向移动到你的根目录去删库跑路；但Ru果有SELinux, 他会被困在那东西特定的“域”里, 像进了笼子的猴子一样, 怎么跳也跳不出那东西范围。

深厚层防护就像穿盔甲

它Neng说是服务器的再说说一道防线। 防火墙挡住了外面的人, WAF挡住了恶劣求, 而SELinux挡住了Yi经潜入内部的特务$. 它让打者即便拿到了Zui高大权限, 也不Neng随意地修改系统关键配置或读取敏感数据$. 这就是所谓的纵深厚防着体系$\dots$哎呀我在哪读到的词$\dots$反正就是这样.

四、要是出错了咋办？

当你找到明明权限给了 $777$, 但程序还是报 "Permission Denied" 时 $\rightarrow$ 99% 是 SELinux 在搞鬼!

你Neng试试这些个命令 :

• getenforce: kan眼下是啥模式?
• setenforce 0: 临时改成宽阔容模式 。
• ls -Z: 查kan文件的平安上下文标签 。
• audit2allow: 这玩意儿工具Zui神奇! 它Neng把日志里的报错直接转换成一条允许的规则$\dots$虽然有时候有点粗暴$.

一下

总而言之啦 , SELinux 就是一个极其严格的平安卫兵. 虽然它学曲线hen陡峭, 而且三天两头让管理员抓狂弄得巨大家想把它删掉 , 但在面对高大有力度打的时候 , 它确实Neng救命 . Ru果你是在公司搞服务器 , 请务必尝试掌握它; Ru果你只是在家玩玩细小鸡 , 那随便你怎么弄吧 .

---

交叉编译selinux lib依赖... Dell G3电脑... CentOS 7.3周围测试... 以上内容仅供参考 aaaaaaaaaaaaaaa.

---