Các lệnh của SELinux – Chế ngự SELinux không khó

Nắm được các lệnh của SELinux bạn  mới có thể chế ngự được nó. Ở bài trước chúng ta đã biết SELinux là gì, phương thức hoạt động của nó thế nào. Bạn cũng đã biết cách tắt, bật SELinux tạm thời cũng như vĩnh viễn trên hệ thống. Ở bài này chúng ta sẽ làm quen một số các lệnh trong SELinux. Từ đó có thể áp dụng các thiết lập cơ bản trong SELinux cho hệ thống máy chủ của bạn.

Ngữ cảnh – Bộ quy tắc của SELinux

Việc kiểm soát các “khu vực” trên máy chủ để phục vụ cho các đối tượng bên ngoài truy cập vào được selinux quản lý thông qua các “bộ quy tắc”. Như vậy một thư mục trên máy được selinux áp đặt bộ quy tắc nào thì bất kỳ ai cũng chỉ có thể khai thác thư mục đó theo đúng giới hạn của bộ quy tắc đó mà thôi. Như vậy dù cho một chương trình hacker nào đó có thể chiếm được quyền hay giả mạo thì cũng không thể tác động đến toàn bộ máy chủ. Nó chỉ có thể tác động lên các khu vực theo giới hạn từ bộ quy tắc đã thiết lập trong SELinux.

Ta tạm gọi các bộ quy tắc đó là các ngữ cảnh (Context).

Một số ngữ cảnh tiêu biểu:

Tên ngữ cảnh	Mô tả giá trị ngữ cảnh
httpd_sys_content_t	Thư mục và tệp chỉ đọc được Apache sử dụng
httpd_sys_rw_content_t	Các thư mục và tệp có thể đọc và ghi được sử dụng bởi Apache. Nếu gán điều này cho thư mục nào thì bạn (hoặc ứng dụng) có thể tạo hoặc sửa đổi thư mục và tệp bên trong đó.
httpd_log_t	Được Apache sử dụng để tạo ra (nếu chưa có) và nối thêm vào (nếu đã có) các tệp nhật ký ứng dụng web.
httpd_cache_t	Gán cho một thư mục được Apache sử dụng để lưu vào bộ nhớ đệm, nếu bạn đang sử dụng mod_cache.

Xem danh sách các ngữ cảnh

Để có danh sách đầy đủ các kiểu ngữ cảnh hãy sử dụng lệnh:

semanage fcontext -l

Danh sách trả lại có thể rất dài, Nếu bạn muốn khoanh vùng dịch vụ quan tâm, hãy thêm tên dịch vụ đó vào sau tùy chọn grep:

Chẳng hạn, xem các ngữ cảnh liên quan đến httpd, hãy sử dụng lệnh:

semanage fcontext -l | grep httpd

Kết quả trả lại:

[root@centos8 ~]# semanage fcontext -l | grep httpd 
/etc/WebCalendar(/.*)? all files system_u:object_r:httpd_sys_rw_content_t:s0
/etc/apache(2)?(/.*)? all files system_u:object_r:httpd_config_t:s0 
/etc/apache-ssl(2)?(/.*)? all files system_u:object_r:httpd_config_t:s0 
/etc/cherokee(/.*)? all files system_u:object_r:httpd_config_t:s0 
/etc/drupal.* all files system_u:object_r:httpd_sys_rw_content_t:s0 
/etc/glpi(/.*)? all files system_u:object_r:httpd_sys_rw_content_t:s0 
/etc/horde(/.*)? all files system_u:object_r:httpd_sys_rw_content_t:s0 
/etc/htdig(/.*)? all files system_u:object_r:httpd_sys_content_t:s0 
/etc/httpd(/.*)? all files system_u:object_r:httpd_config_t:s0

• Như vậy hệ thống SELinux trên máy đã tồn tại sẵn nhiều “bộ quy tắc” ta gọi là các ngữ cảnh. Mỗi dịch vụ sẽ có một số ngữ cảnh của nó.
• Sử dụng tùy chọn | grep <tên dịch vụ> để xem các ngữ cảnh gán cho dịch vụ mà ta quan tâm.

Xem ngữ cảnh của một thư mục

Một thư mục có thể đang được áp dụng một bộ quy tắc SELinux nào đó. Để xem ngữ cảnh của một thư mục bạn có thể dùng lệnh:

ls -dZ < thư mục>

Ví dụ: xem ngữ cảnh nào đang gán cho thư mục /var/www/html

[root@lamp36 ~]# ls -dZ /var/www/html
drwx--x--x. apache apache system_u:object_r:httpd_sys_content_t:s0 /var/www/html

Ta thấy ngữ cảnh httpd_sys_content_t đang được áp dụng cho thư mục /var/ww/html

Ví dụ xem ngữ cảnh nào đang gán cho thư mục /var/cache/httpd:

[root@lamp36 ~]# ls -dZ /var/cache/httpd
drwx------. apache apache system_u:object_r:httpd_cache_t:s0 /var/cache/httpd

Gán ngữ cảnh lên một thư mục

Ta có thể tự mình gán một chính sách nào đó lên một thư mục cụ thể. Ví dụ trong tình huống ta xây dựng một hệ thống thư mục máy chủ web là /home/public_html, nó không giống như mặc định là /var/ww/html. Khi đó ta phải gán một số chính sách của SELinux lên thư mục /home/public_html. Để thiết lập chính sách lên một thư mục nào đó hãy sử dụng cấu trúc lệnh:

semanage fcontext -a -t <tên_ngữ_cảnh> "Tên_thư_mục"

Một số ví dụ:

Gán chính sách httpd_sys_content_t cho thư mục /var/www/html và các thư mục con cũng như các file trong nó:

semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"

Gán chính sách httpd_log_t cho thư mục /var/logs để ghi nhật ký ứng dụng:

semanage fcontext -a -t httpd_log_t "/var/logs(/.*)?"

Tạo chính sách để gán ngữ cảnh httpd_cache_t cho các thư mục bộ nhớ cache:

semanage fcontext -a -t httpd_cache_t "/var/www/cache(/.*)?"

Tạo chính sách để gán ngữ cảnh httpd_sys_rw_content_t cho thư mục uploads và tất cả các tệp con có thể đọc ghi:

semanage fcontext -a httpd_sys_rw_content_t "/var/www/html/uploads(/.*)?"

Gán chính sách đọc ghi cho file wp-config.php:

semanage fcontext -a httpd_sys_rw_content_t "/var/www/html/wp-config.php"

Áp dụng ngữ cảnh đã gán

Các chính sách bạn đã gán sẽ được sẵn sàng áp dụng cho cấu trúc thư mục. Tuy nhiên chúng chưa có hiệu lực. Bây giờ chúng ta sẽ sử dụng lệnh restorecon để áp dụng chúng. Đây cũng là lệnh tương tự mà bạn sẽ sử dụng để áp dụng lại các ngữ cảnh cho các thư mục ứng dụng nếu vì lý do nào đó mà chúng bị xóa hoặc bị hỏng.

restorecon -Rv /var/www

Tùy chọn -R có tính đệ quy để áp dụng cho các thư mục con trong thư mục chỉ định

Xem trạng thái cấp phép cho các dịch vụ

Mỗi một dịch vụ trên máy chủ sẽ được SELinux cấp cho một số quyền hạn nhất định. Tức là dịch vụ đó được làm gì và không được làm gì (ví dụ ftpd_anon_write -> off tức là dịch vụ ftp không được quyền ghi tệp lên thư mục). Trước tiên ta cần biết SELinux đang cấp phép cho những dịch vụ nào trên hệ thống. Xem các dịch vụ đang được cấp phép bằng lệnh:

semanage boolean -l

Kết quả:

[root@lamp36 ~]# semanage boolean -l
SELinux boolean                State  Default Description
privoxy_connect_any            (on   ,   on)  Allow privoxy to connect any
smartmon_3ware                 (off  ,  off)  Allow smartmon to 3ware
mpd_enable_homedirs            (off  ,  off)  Allow mpd to enable homedirs
xdm_sysadm_login               (off  ,  off)  Allow xdm to sysadm login
xen_use_nfs                    (off  ,  off)  Allow xen to use nfs
mozilla_read_content           (off  ,  off)  Allow mozilla to read content
ssh_chroot_rw_homedirs         (off  ,  off)  Allow ssh to chroot rw homedirs
mount_anyfile                  (on   ,   on)  Allow mount to anyfile
cron_userdomain_transition     (on   ,   on)  Allow cron to userdomain transition
xdm_write_home                 (off  ,  off)  Allow xdm to write home
...

Thông tin được trình bày trên 4 cột:

• SELinux boolean: các đối tượng chịu sự kiểm soát của SELinux.
• State: trạng thái hiện thời của đối tượng. Nếu đối tượng nào bạn chưa điều chỉnh thì giá trị state này sẽ bằng với giá trị mặc định Default.
• Default: Các giá trị mặc định ban đầu mà SELinux thiết lập cho các đối tượng nó đang kiểm soát.
• Description: Mô tả ngắn về đối tượng

Danh sách trả lại có thể khá dài, tới vài trang màn hình. Để lọc bớt các kết quả không quan tâm, hay muốn xem trạng thái cấp phép cho một dịch vụ cụ thể ta sử dụng tùy chọn grep. Muốn xem trạng thái của selinux đối với dịch vụ nào ta sử dụng lệnh với cú pháp chung:

semanage boolean -l | grep <tên dịch vụ>

Ví dụ: xem trạng thái đối với ftpd services bằng câu lệnh:

semanage boolean -l | grep ftpd

Ta thu được:

[root@lamp36 ~]# semanage boolean -l | grep ftpd
ftpd_use_cifs                  (off  ,  off)  Allow ftpd to use cifs
ftpd_connect_db                (off  ,  off)  Allow ftpd to connect db
ftpd_use_fusefs                (off  ,  off)  Allow ftpd to use fusefs
ftpd_full_access               (off  ,  off)  Allow ftpd to full access
ftpd_use_passive_mode          (off  ,  off)  Allow ftpd to use passive mode
ftpd_use_nfs                   (off  ,  off)  Allow ftpd to use nfs
ftpd_connect_all_unreserved    (off  ,  off)  Allow ftpd to connect all unreserved
ftpd_anon_write                (off  ,  off)  Allow ftpd to anon write
[root@lamp36 ~]#

Nhìn kết quả trên ta đọc được: dịch vụ chuyển file ftp hiện tại đang không được quyền truy cập đầy đủ (full access off) cũng như cấm ghi đối với các tài khoản khách vô danh (anon write off). Chúng ta có thể thay đổi các giá trị này, tuy nhiên vì chúng liên quan đến các chính sách bảo mật nên cần cân nhắc và chắc chắn trước khi thực hiện.

getsebool – Lấy trạng thái cấp phép hiện tại của dịch vụ

Lệnh getsebool với khóa -a cho phép ta đọc trạng thái cấp phép của một dịch vụ trên SELinux. Cú pháp chung của lệnh:

getsebool -a | grep <ten-dich-vu>

Ví dụ xem trạng thái cấp phép của các dịch vụ liên quan đến ftp

[root@lamp36 ~]# getsebool -a | grep ftp
ftpd_anon_write --> off
ftpd_connect_all_unreserved --> off
ftpd_connect_db --> off
ftpd_full_access --> off
ftpd_use_cifs --> off
ftpd_use_fusefs --> off
ftpd_use_nfs --> off
ftpd_use_passive_mode --> off
httpd_can_connect_ftp --> off
httpd_enable_ftp_server --> off
tftp_anon_write --> off
tftp_home_dir --> off

Nhìn vào kết quả trả lại chúng ta có thể thấy dịch vụ nào đang được cho phép: (on hoặc 1) dịch vụ nào đang bị cấm (off hoặc 0)

setsebool – Thay đổi trạng thái cấp phép 1 dịch vụ

Lệnh setsebool cho phép đặt trạng thái hiện tại của một hoặc nhiều boolean SELinux về một giá trị nhất định. Giá trị có thể là 1 trong 2 trạng thái logic (boolean):

• Trạng thái bật (hoạt động):  1 hoặc true hoặc on
• Trạng thái tắt (hoặc nghỉ): 0 hoặc false hoặc off

Cú pháp chung của lệnh:

setsebool [ -P ] boolean value | bool1=val1 bool2=val2 ...

Nếu không có tùy chọn -P, chỉ giá trị boolean hiện tại bị ảnh hưởng; thiết lập sẽ mất hiệu lực khi khởi động lại.

Nếu tùy chọn -P được cung cấp, tất cả các giá trị đang chờ xử lý sẽ được ghi vào tệp chính sách trên đĩa. Vì vậy, chúng sẽ được duy trì liên tục qua các lần khởi động lại.

Ví dụ: Thiết lập cấp phép đọc ghi cho dịch vụ samba:

setsebool -P allow_smbd_anon_write 1

Xem các port Selinux mở mặc định:

Ta có thể xem SELinux đang mở những port nào cho dịch vụ cụ thể nào sử dụng bằng lệnh semanage port -l (tùy chọn port -l hàm ý là list các port)

[root@lamp36 ~]# semanage port -l

SELinux Port Type              Proto    Port Number
afs3_callback_port_t           tcp      7001
afs3_callback_port_t           udp      7001
afs_bos_port_t                 udp      7007
afs_fs_port_t                  tcp      2040
afs_fs_port_t                  udp      7000, 7005
afs_ka_port_t                  udp      7004
afs_pt_port_t                  tcp      7002
afs_pt_port_t                  udp      7002

Danh sách có thể rất dài, ta khoanh vùng bằng tùy chọn | grep

Ví dụ: List các port mà SElinux đang cho phép httpd sử dụng:

semanage port -l | grep -w http_port_t

hoặc sử dụng sepolicy

sepolicy network -t http_port_t

Kết quả của cả 2 câu lệnh trên đều tương tự

# semanage port -l | grep -w http_port_t
http_port_t                    tcp      8087, 8088, 80, 81, 443, 488, 8008, 8009, 8443, 9000

Tìm kiếm port đã được sử dụng hay chưa

Sử dụng lệnh semanage thêm tùy chọn grep. Ví dụ xem port 8088 đã sử dụng chưa:

# semanage port -l | grep 8088
http_port_t tcp 8087, 8088, 80, 81, 443, 488, 8008, 8009, 8443, 9000

Port tìm thấy sẽ được tô màu đỏ

Thêm một port vào dịch vụ nào đó

Thêm port 8001 cho dịch vụ httpd sử dụng với các kết nối tcp

semanage port -a -t http_port_t -p tcp 8001

Kết quả

8001: tcp unreserved_port_t 1024-32767
8001: udp unreserved_port_t 1024-32767

Xóa port với tham số -d thay cho -a

Lệnh xóa port cũng là lệnh thêm port tuy nhiên thay tham số -a bằng tham số -d. Ví dụ xóa port 8001 vừa thêm vào ở ví dụ trên:

semanage port -d -t http_port_t -p tcp 8001

Lời kết

Như vậy qua bài viết này, các bạn đã biết:

• Xem danh sách các ngữ cảnh trên SELinux
• Xem ngữ cảnh của một thư mục cụ thể
• Gán ngữ cảnh cho một thư mục cụ thể
• Xem trạng thái cấp phép cho các dịch vụ
• Thay đổi trạng thái cấp phép của một dịch vụ cụ thể
• Xem port, thêm vào và xóa bớt một port trong SELinux

Rất nhiều các chuyên gia khuyên rằng nên tắt SELinux để bớt rắc rối. Thực ra đây là một cách tồi tệ nhất vì chúng ta đã vô hiệu hóa hệ thống phòng thủ cho VPS của mình. Hy vọng với các kiến thức này, các bạn có thể làm chủ SELinux để bảo vệ VPS của mình.

Cường Còng – Chúc các bạn vui vẻ!