Linux怎么安装使用semanage

- 编辑:去找 - 阅读:- 发布时间:

Linux怎么安装使用semanage

  semanage命令是用来查询与修改SELinux默认目录的安全上下文,那么大家知道Linux怎么安装使用semanage吗?接下来大家跟着去找网一起来了解一Linux安装使用semanage下的解决方法吧。

欢迎访问www.7zhao.net

  Linux安装使用semanage方法

欢迎访问www.7zhao.net

  Selinux极大的增强了Linux系统的安全性,能将用户权限关在笼子里,如httpd服务,apache默认只能访问/var/www目录,并只能监听80和443端口,因此能有效的防范0-day类的攻击。举例来说,系统上的 Apache 被发现存在一个漏洞,使得某远程用户可以访问系统上的敏感文件(比如 /etc/passwd 来获得系统已存在用户),而修复该安全漏洞的 Apache 更新补丁尚未释出。此时 SELinux 可以起到弥补该漏洞的缓和方案。因为 /etc/passwd 不具有 Apache 的访问标签,所以 Apache 对于 /etc/passwd 的访问会被 SELinux 阻止。 内容来自www.7zhao.net

  CentOS系统自带的chcon工具只能修改文件、目录等的文件类型和策略,无法对端口、消息接口和网络接口等进行管理,semanage能有效胜任SELinux的相关配置工作。

本文来自去找www.7zhao.net

  安装: copyright www.7zhao.net

  代码如下:

www.7zhao.net

  # yum -y install policycoreutils-python

www.7zhao.net

  用法:

去找(www.7zhao.net欢迎您

  semanage命令用来查询与修改SELinux默认目录的安全上下文。

本文来自去找www.7zhao.net

  semanage fcontext [-S store] -{a|d|m|l|n|D} [-frst] file_spec

欢迎访问www.7zhao.net

  semanage fcontext [-S store] -{a|d|m|l|n|D} -e replacement target

内容来自www.7zhao.net

  主要参数: 去找(www.7zhao.net欢迎您

  -a:添加 copyright www.7zhao.net

  -d:删除

内容来自www.7zhao.net

  -m:修改

本文来自去找www.7zhao.net

  -l:列举 copyright www.7zhao.net

  -n:不打印说明头 去找(www.7zhao.net欢迎您

  -D:全部删除 本文来自去找www.7zhao.net

  -f:文件

内容来自www.7zhao.net

  -s:用户

www.7zhao.net

  -t:类型 欢迎访问www.7zhao.net

  r:角色

去找(www.7zhao.net欢迎您

  基本使用:

欢迎访问www.7zhao.net

  管理登录linux的用户和SELinux局限的用户之间的映射。

内容来自www.7zhao.net

  代码如下: copyright www.7zhao.net

  semanage login [-S store] -{a|d|m|l|n|D} [-sr] login_name | %groupname 内容来自www.7zhao.net

  管理策略模块: www.7zhao.net

  代码如下: www.7zhao.net

  semanage module [-S store] -{a|d|l} [-m [--enable | --disable] ] module_name

copyright www.7zhao.net

  管理网络端口类型定义

去找(www.7zhao.net欢迎您

  代码如下:

本文来自去找www.7zhao.net

  semanage port [-S store] -{a|d|m|l|n|D} [-tr] [-p proto] port | port_range

内容来自www.7zhao.net

  例:如apache采用非标准端口,需执行如下命令: www.7zhao.net

  代码如下: 本文来自去找www.7zhao.net

  emanage port -a -t http_port_t -p tcp port_number 内容来自www.7zhao.net

  查看当前允许的httpd端口:

本文来自去找www.7zhao.net

  代码如下: 本文来自去找www.7zhao.net

  # semanage port -l|grep http

www.7zhao.net

  http_cache_port_t tcp 3128, 8080, 8118, 8123, 10001-10010 内容来自www.7zhao.net

  http_cache_port_t udp 3130 www.7zhao.net

  http_port_t tcp 8888, 80, 443, 488, 8008, 8009, 8443 内容来自www.7zhao.net

  pegasus_http_port_t tcp 5988

copyright www.7zhao.net

  pegasus_https_port_t tcp 5989

copyright www.7zhao.net

  注意:8888是我刚才添加的 本文来自去找www.7zhao.net

  管理网络接口类型定义

本文来自去找www.7zhao.net

  代码如下:

去找(www.7zhao.net欢迎您

  semanage interface [-S store] -{a|d|m|l|n|D} [-tr] interface_spec 欢迎访问www.7zhao.net

  管理网络节点类型定义

欢迎访问www.7zhao.net

  代码如下: copyright www.7zhao.net

  semanage node [-S store] -{a|d|m|l|n|D} [-tr] [ -p protocol ] [-M netmask] address 去找(www.7zhao.net欢迎您

  管理文件中映射定义 欢迎访问www.7zhao.net

  代码如下: 欢迎访问www.7zhao.net

  semanage fcontext [-S store] -{a|d|m|l|n|D} [-frst] file_spec copyright www.7zhao.net

  semanage fcontext [-S store] -{a|d|m|l|n|D} -e replacement target

www.7zhao.net

  例:让 Apache 可以访问位于非默认目录下的网站文件 欢迎访问www.7zhao.net

  首先,用 semanage fcontext -l | grep '/var/www' 获知默认 /var/www 目录的 SELinux 上下文: www.7zhao.net

  代码如下: 内容来自www.7zhao.net

  /var/www(/.*)? all files system_u:object_r:httpd_sys_content_t:s0 copyright www.7zhao.net

  从中可以看到 Apache 只能访问包含 httpd_sys_content_t 标签的文件。

www.7zhao.net

  假设希望 Apache 使用 /srv/www 作为网站文件目录,那么就需要给这个目录下的文件增加 httpd_sys_content_t 标签,分两步实现。

copyright www.7zhao.net

  首先为 /srv/www 这个目录下的文件添加默认标签类型:semanage fcontext -a -t httpd_sys_content_t '/srv/www(/.*)?' 然后用新的标签类型标注已有文件:restorecon -Rv /srv/www 之后 Apache 就可以使用该目录下的文件构建网站了。

内容来自www.7zhao.net

  其中 restorecon 在 SELinux 管理中很常见,起到恢复文件默认标签的作用。比如当从用户主目录下将某个文件复制到 Apache 网站目录下时,Apache 默认是无法访问,因为用户主目录的下的文件标签是 user_home_t。此时就需要 restorecon 将其恢复为可被 Apache 访问的 httpd_sys_content_t 类型:

去找(www.7zhao.net欢迎您

  代码如下:

欢迎访问www.7zhao.net

  restorecon -v /srv/www/foo.com/html/file.html

本文来自去找www.7zhao.net

  restorecon reset /srv/www/foo.com/html/file.html context unconfined_u:object_r:user_home_t:s0->system_u:object_r:httpd_sys_content_t:s0

去找(www.7zhao.net欢迎您

  semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?" //新建一条规则,指定/web目录及其下的所有文件的扩展属性为httpd_sys_content_t
  欢迎访问www.7zhao.net

看过“Linux怎么安装使用semanage”的人