windows | Mac os | linux | 电脑故障 | 网络知识 | 电脑百科 | 破解软件 | 网页编程 | 电脑配置 |

Linux怎么安装使用semanage

发布时间:2016-11-30

semanage命令是用来查询与修改SELinux默认目录的安全上下文,那么大家知道Linux怎么安装使用semanage吗?接下来大家跟着小编一起来了解一Linux安装使用semanage下的解决方法吧。

Linux安装使用semanage方法

Selinux极大的增强了Linux系统的安全性,能将用户权限关在笼子里,如httpd服务,apache默认只能访问/var/www目录,并只能监听80和443端口,因此能有效的防范0-day类的攻击。举例来说,系统上的 Apache 被发现存在一个漏洞,使得某远程用户可以访问系统上的敏感文件(比如 /etc/passwd 来获得系统已存在用户),而修复该安全漏洞的 Apache 更新补丁尚未释出。此时 SELinux 可以起到弥补该漏洞的缓和方案。因为 /etc/passwd 不具有 Apache 的访问标签,所以 Apache 对于 /etc/passwd 的访问会被 SELinux 阻止。

CentOS系统自带的chcon工具只能修改文件、目录等的文件类型和策略,无法对端口、消息接口和网络接口等进行管理,semanage能有效胜任SELinux的相关配置工作。

安装:

代码如下:

# yum -y install policycoreutils-python

用法:

semanage命令用来查询与修改SELinux默认目录的安全上下文。

semanage fcontext [-S store] -{a|d|m|l|n|D} [-frst] file_spec

semanage fcontext [-S store] -{a|d|m|l|n|D} -e replacement target

主要参数:

-a:添加

-d:删除

-m:修改

-l:列举

-n:不打印说明头

-D:全部删除

-f:文件

-s:用户

-t:类型

r:角色

基本使用:

管理登录linux的用户和SELinux局限的用户之间的映射。

代码如下:

semanage login [-S store] -{a|d|m|l|n|D} [-sr] login_name | %groupname

管理策略模块:

代码如下:

semanage module [-S store] -{a|d|l} [-m [--enable | --disable] ] module_name

管理网络端口类型定义

代码如下:

semanage port [-S store] -{a|d|m|l|n|D} [-tr] [-p proto] port | port_range

例:如apache采用非标准端口,需执行如下命令:

代码如下:

emanage port -a -t http_port_t -p tcp port_number

查看当前允许的httpd端口:

代码如下:

# semanage port -l|grep http

http_cache_port_t tcp 3128, 8080, 8118, 8123, 10001-10010

http_cache_port_t udp 3130

http_port_t tcp 8888, 80, 443, 488, 8008, 8009, 8443

pegasus_http_port_t tcp 5988

pegasus_httPs_port_t tcp 5989

注意:8888是我刚才添加的

管理网络接口类型定义

代码如下:

semanage interface [-S store] -{a|d|m|l|n|D} [-tr] interface_spec

管理网络节点类型定义

代码如下:

semanage node [-S store] -{a|d|m|l|n|D} [-tr] [ -p protocol ] [-M netmask] address

管理文件中映射定义

代码如下:

semanage fcontext [-S store] -{a|d|m|l|n|D} [-frst] file_spec

semanage fcontext [-S store] -{a|d|m|l|n|D} -e replacement target

例:让 Apache 可以访问位于非默认目录下的网站文件

首先,用 semanage fcontext -l | grep '/var/www' 获知默认 /var/www 目录的 SELinux 上下文:

代码如下:

/var/www(/.*)? all files system_u:object_r:httpd_sys_content_t:s0

从中可以看到 Apache 只能访问包含 httpd_sys_content_t 标签的文件。

假设希望 Apache 使用 /srv/www 作为网站文件目录,那么就需要给这个目录下的文件增加 httpd_sys_content_t 标签,分两步实现。

首先为 /srv/www 这个目录下的文件添加默认标签类型:semanage fcontext -a -t httpd_sys_content_t '/srv/www(/.*)?' 然后用新的标签类型标注已有文件:restorecon -Rv /srv/www 之后 Apache 就可以使用该目录下的文件构建网站了。

其中 restorecon 在 SELinux 管理中很常见,起到恢复文件默认标签的作用。比如当从用户主目录下将某个文件复制到 Apache 网站目录下时,Apache 默认是无法访问,因为用户主目录的下的文件标签是 user_home_t。此时就需要 restorecon 将其恢复为可被 Apache 访问的 httpd_sys_content_t 类型:

代码如下:

restorecon -v /srv/www/foo.com/html/file.html

restorecon reset /srv/www/foo.com/html/file.html context unconfined_u:object_r:user_home_t:s0->system_u:object_r:httpd_sys_content_t:s0

semanage fcontext -a -t httpd_sys_content_t "/web(/.*)?" //新建一条规则,指定/web目录及其下的所有文件的扩展属性为httpd_sys_content_t

看过“Linux怎么安装使用semanage”的人还看了:

123
  • Linux怎么安装使用semanage 相关内容:
  • 阿里云linux服务器数据盘、磁盘扩容教程(案例操
  • 近日服务器的数据盘空间越来越少,于是通过阿里云为linux服务器扩容,但是按照官方的教程没有扩容成功。研究了很长时间特意把需要注意和容易出错的地方给大家标注下,并且把这些实际操作的步骤发出来,以后自己遇到问题方便查看。又能帮助到同样遇到此问题的朋友。首先第一步,在...

  • linux grep命令详解
  • grep (global search regular expression(RE) and print out the line,全面搜索正则表达式并把行打印出来)是一种强大的文本搜索工具,它能使用正则表达式搜索文本,并把匹配的行打印出来。接下来是小编为大家收集的linux grep命令详解,希望能帮到大家。linux grep命令详解Un...

  • Linux命令convert GPT to MBR图解
  • 随着嵌入式系统设备的普及,嵌入式设备的种类越来越多,这就导致了现在还没有一种统一的操作系统能够轻易地运行在任何嵌入式设备平台上。接下来是小编为大家收集的Linux命令convert GPT to MBR图解,希望能帮到大家。Linux命令convert GPT to MBR图解采用GPT分区方式的硬盘...

  • Linux下的GPT分区教程
  • 随着Internet网络的普及,Linux操作系统正在各个方面得到广泛的应用。Linux操作系统在服务器、嵌入式等方面已经取得不俗的成绩,在桌面系统方面,也逐渐受到欢迎。接下来是小编为大家收集的Linux下的GPT分区教程,希望能帮到大家。Linux下的GPT分区教程Linux下的GPT分区,这是...

  • Linux磁盘管理GPT分区教程
  • Linux内核代码量大、逻辑关系复杂,因此对内核中的错误进行追溯和调试一直以来都是一件既耗费时间又耗费精力的事情。接下来是小编为大家收集的 Linux磁盘管理GPT分区教程,希望能帮到大家。 Linux磁盘管理GPT分区教程硬盘分区表扫盲:MBR和GPT表MBR全称为Master Boot Record...

  • linux下串口gps应用
  • 嵌入式系统是计算机技术的一种重要应用形式。从概念上讲,嵌入式系统并不是近来才出现的产品,但随着计算技术和通信技术的迅速发展以及Internet的广泛应用,嵌入式系统却从来没有象现在这样风靡过。接下来是小编为大家收集的linux下串口gps应用,希望能帮到大家。linux下串口gp...

  • linux下GPS设备编程实例
  • Linux系统的裁减的目的就是建立一个在特定的嵌入式环境下与需求相匹配的嵌入式Linux系统。接下来是小编为大家收集的linux下GPS设备编程实例 ,希望能帮到大家。linux下GPS设备编程实例1、GPS设备工作时一直不停地通过串口(或其他的接口)向主机发送具有一定协议格式的数据...

  • Linux下接收处理GPS数据教程
  • Linux的性能、可靠性、灵活性、和开放性,与其支持多微处理器体系结构、硬件设备、图形支持和通信协议相结合,把Linux建成了一个日益发展的操作系统平台。接下来是小编为大家收集的Linux下接收处理GPS数据教程,希望能帮到大家。Linux下接收处理GPS数据教程1,接收数据这个名...

  • 查看更多>>

    linux