如何解决SELinux问题
- KnightE - 火丁笔记说起SELinux，多数Linux发行版缺省都激活了它，可见它对系统安全的重要性，可惜由于它本身有一定的复杂性，如果不熟悉的话往往会产生一些看似莫名其妙的问题，导致人们常常放弃使用它，为了不因噎废食，学学如何解决SELinux问题是很有必要的. 我们以CentOS环境为例重现一个非常常见的SELinux问题：.
如何解决SELinux问题
标签：
Technical
Linux
SELinux
| 发表时间：2011-10-01 20:58 | 作者：老王 KnightE
出处：http://huoding.com
说起SELinux，多数Linux发行版缺省都激活了它，可见它对系统安全的重要性，可惜由于它本身有一定的复杂性，如果不熟悉的话往往会产生一些看似莫名其妙的问题，导致人们常常放弃使用它，为了不因噎废食，学学如何解决SELinux问题是很有必要的。
我们以CentOS环境为例重现一个非常常见的SELinux问题：
首先需要确认SELinux处于激活状态，可以使用getenforce或sestatus命令：
shell> getenforce Enforcing shell> sestatus SELinux status: enabled SELinuxfs mount: /selinux Current mode: enforcing Mode from config file: enforcing Policy version: 24 Policy from config file: targeted
注：关于SELinux的基础知识介绍请参考鸟哥的Linux私房菜中相关的介绍。
我们还需要确认系统已经安装并启动了Apache，没有的话就YUM装一个，这很简单，就不多说了，接着在root目录创建一个测试文件test.html，如下：
shell> cat /root/test.html hello, world.
然后把这个测试文件拷贝到Apache的DocumentRoot目录，我的Apache是通过YUM安装的话，缺省是/var/www/html目录，如下：
shell> cp /root/test.html /var/www/html
接着浏览一下，如果没出什么幺蛾子，应该一切都在意料之中，如下：
shell> curl http://localhost/test.html hello, world.
看到这，你可能觉得我废话连篇，别着急，下面就是见证奇迹的时候了：
同样还是那个测试文件test.html，不过这次不再是拷贝，而是移动，如下：
shell> mv /root/test.html /var/www/html
接着浏览一下，怎么样，结果很出人意料吧，竟然提示权限错误，如下：
shell> curl http://localhost/test.html <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN"> <html><head> <title>403 Forbidden</title> </head><body> <h1>Forbidden</h1> <p>You don't have permission to access /test.html on this server.</p> </body></html>
当然，我们现在知道这个问题是由于SELinux引起的，但还不知其所以然，实际上问题的原因此时已经被audit进程记录到了相应的日志里，可以这样查看：
shell> audit2why < /var/log/audit/audit.log
如果看不懂的话，推荐安装setroubleshoot套件：
shell> yum install setroubleshoot
它本身是一个GUI套件，不过其中包含的一个sealert命令对我们命令行用户很有用：
shell> sealert -a /var/log/audit/audit.log
Summary:
SELinux is preventing /usr/sbin/httpd "getattr" access to
/var/www/html/test.html.
Detailed Description:
SELinux denied access requested by httpd. /var/www/html/test.html may be a
mislabeled. /var/www/html/test.html default SELinux type is httpd_sys_content_t,
but its current type is admin_home_t. Changing this file back to the default
type, may fix your problem.
File contexts can be assigned to a file in the following ways.
* Files created in a directory receive the file context of the parent
directory by default.
* The SELinux policy might override the default label inherited from the
parent directory by specifying a process running in context A which creates
a file in a directory labeled B will instead create the file with label C.
An example of this would be the dhcp client running with the dhclient_t type
and creating a file in the directory /etc. This file would normally receive
the etc_t type due to parental inheritance but instead the file is labeled
with the net_conf_t type because the SELinux policy specifies this.
* Users can change the file context on a file using tools such as chcon, or
restorecon.
This file could have been mislabeled either by user error, or if an normally
confined application was run under the wrong domain.
However, this might also indicate a bug in SELinux because the file should not
have been labeled with this type.
If you believe this is a bug, please file a bug report against this package.
Allowing Access:
You can restore the default system context to this file by executing the
restorecon command. restorecon '/var/www/html/test.html', if this file is a
directory, you can recursively restore using restorecon -R
'/var/www/html/test.html'.
Fix Command:
/sbin/restorecon '/var/www/html/test.html'
这次应该看懂了吧！原因是说Apache下文件上下文类型应该是httpd_sys_content_t，但是现在是admin_home_t，所以权限错误，并且在结尾处给出了修复命令。
可httpd_sys_content_t，admin_home_t都怎么看啊？很简单，借助ls命令的-Z参数即可：
shell> ls -Z /path
说明：回到问题的开始，拷贝之所以没出现问题，是因为cp自动修改上下文属性，而移动之所以出现问题是因为mv保留原文件的上下文属性。
知道了如何解决SELinux问题，以后在遇到类似的情况不要急着武断的关闭SELinux。
相关 [selinux 问题] 推荐：
SELinux 入门
- wonder - LinuxTOY几乎可以肯定每个人都听说过 SELinux (更准确的说，尝试关闭过)，甚至某些过往的经验让您对 SELinux 产生了偏见. 不过随着日益增长的 0-day 安全漏洞，或许现在是时候去了解下这个在 Linux 内核中已经有8年历史的强制性访问控制系统(MAC)了. SELinux 与强制访问控制系统.
SELinux 探秘
- Jie - LinuxTOYThomas Cameron 在 2011 年的 JBoss 年会上进行了关于 SELinux 的讲座，现在所用的幻灯片公布出来了. 其中 Thomas 用细致的方式讲解了与 Apache 服务相关的 SELinux 的配置，以及一些 SELinux 的自定义策略方法. 适合结合本站先前的SELinux 入门学习.
关闭SELinux的两种方法
- ArmadilloCommander - linux大棚-roclinux.cn1 永久方法 – 需要重启服务器. 修改/etc/selinux/config文件中设置SELINUX=disabled ，然后重启服务器. 2 临时方法 – 设置系统参数. 使用命令setenforce 0. setenforce 1 设置SELinux 成为enforcing模式. setenforce 0 设置SELinux 成为permissive模式.
稿费问题
- Ruixing F - 创造社新任社长宋石男据说现在全中国靠给平媒自由撰稿为生的，超不过1000人，而且不少处于相当窘迫的境况，就算想买根绳子来上吊，都买不起质量好的，结果绳子老断. 作为自由撰稿人的一员，我对此深有体会. 1999年国家版权局出台的基本稿酬标准，每千字30元-100元，至今仍为全国发行的报刊的“行业指导价”. 业内估计，全国报刊的稿费中位数大约也就在100元.
lvs 问题
- - 操作系统 - ITeye博客1： LVS连接的持久时间. 1）同一个ip发来请求到同一台RS的持久超时时间. ipvsadm -A -t 192.168.169.100:80 -s rr -p 120 #该客户的请求120秒内被分配给同一台web. 2）一个链接创建后空闲时的超时时间（分别是：tcp的空闲超时时间、lvs收到客户端tcp fin的超时时间、udp的超时时间）.
跨机房问题
- Shengbin - NOSQL Notes跨机房问题一直都是一个老大难的问题，先看传统数据库的跨机房方案. Master/Slave方案. 这是最常用的方案，适用于大多数需求. Master将操作日志实时地发送到Slave，Slave当成Master的一个Hot Backup. Master宕机时，服务切换到Slave，需要修改客户端逻辑使得Master失效时自动寻找新的Master.
Hash Collision DoS 问题
- mazhechao - 酷壳 - CoolShell.cn最近，除了国内明文密码的安全事件，还有一个事是比较大的，那就是 Hash Collision DoS （Hash碰撞的拒绝式服务攻击），有恶意的人会通过这个安全弱点会让你的服务器运行巨慢无比. 这个安全弱点利用了各语言的Hash算法的“非随机性”可以制造出N多的value不一样，但是key一样数据，然后让你的Hash表成为一张单向链表，而导致你的整个网站或是程序的运行性能以级数下降（可以很轻松的让你的CPU升到100%）.
相关性问题
- - 扯氮集--上海魏武挥的博客 - 扯氮集--上海魏武挥的博客人的本性是趋利避害的，任何合作（或者交易，或者搭伙，或者配对，反正就不是一个人干的事）都会存在三个可能：有利、有害、无利无害. 对于合作一方来说，至少应该保持一个无害的结果，这是常识. 如果觉得有害的可能性很大，于是，我们就会拒绝合作. 问题在于，谁也不是神仙，没有人可以事先100%断定合作必然会有利或至少无害，于是人们需要很多背景信息来供决策.
select 效率问题
- - C++博客_杨粼波 很多人不知道SQL语句在SQL SERVER中是如何执行的，他们担心自己所写的SQL语句会被SQL SERVER误解. 一些人不知道以上两条语句的执行效率是否一样，因为如果简单的从语句先后上看，这两个语句的确是不一样，如果tID是一个聚合索引，那么后一句仅仅从表的10000条以后的记录中查找就行了；而前一句则要先从全表中查找看有几个name='zhangsan'的，而后再根据限制条件条件tID>10000来提出查询结果.