标签：s0 Selinux app sysfs system com cit 快速

快速入手必看：

• 如何确认是否是selinux问题：

可以通过运行 cat /proc/kmsg 或者 cat /sys/fs/pstore/console-ramoops 来获取上次启动时的事件日志。SELinux 日志消息中包含“avc:”字样，因此可使用 grep 轻松找到。

一般如下：

[10104.199705] (0)[433:logd.auditd]type=1400 audit(1609222167.878:20645): avc: denied { read } for comm="com.miui.cit" name="panel_info" dev="sysfs" ino=32487 scontext=u:r:system_app:s0 tcontext=u:object_r:sysfs:s0 tclass=file permissive=0

可以看到permissive=0 代表访问被拒绝，permissive=1代表拥有访问权限。

• 如何生成selinux rule

只需三步，

第一步，把手机里面的policy文件拉到本地。

第二步，复现问题。

第三步，把log喂给audit2allow命令来帮助我们生成selinux rule。

假如有提示本地环境找不到audit2allow，可以手动根据提示安装或者在Android 目录下寻找。

adb pull /sys/fs/selinux/policy
adb shell dmesg | audit2allow -p policy

这里比较灵活，我们可以直接把dmesg喂给audit2allow也可以直接把logcat喂给audit2allow（adb logcat -b all -d | audit2allow -p policy) ，甚至可以直接cat 或者echo文件给它。比如：

echo "[10104.199705] (0)[433:logd.auditd]type=1400 audit(1609222167.878:20645): avc: denied { read } for comm="com.miui.cit" name="panel_info" dev="sysfs" ino=32487 scontext=u:r:system_app:s0 tcontext=u:object_r:sysfs:s0 tclass=file permissive=0 " | audit2allow -p policy
cat logfile | audit2allow -p policy

最后生成的文件如下：

#============= system_app ==============
allow system_app sysfs:file read;

• 修复问题：

最后根据生成的文件,在源码目录找到或者新建system_app.te 把“allow system_app sysfs:file read;” 写入到该文件即可。

原理说明（快速入手可跳过）

我们 仍以下面的例子说明，

[10104.199705] (0)[433:logd.auditd]type=1400 audit(1609222167.878:20645): avc: denied { read } for comm="com.miui.cit"  comm="com.miui.cit"  dev="sysfs" ino=32487 scontext=u:r:system_app:s0 tcontext=u:object_r:sysfs:s0 tclass=file permissive=0

其规则可以表述如下

avc: denied { connectto } for comm="com.miui.cit" name="panel_info" dev="sysfs" ino=32487 scontext=u:r:system_app:s0 tcontext=u:object_r:sysfs:s0 tclass=file permissive=0

该输出的解读：

上方的 { connectto } 表示执行的操作。根据它和末尾的 tclass (file)，您可以大致了解是对什么对象执行什么操作。在此例中，是操作方正在试图读取文件。

scontext (u:r:system_app:s0) 表示发起相应操作的环境，在此例中是 system_app 中运行的某个程序。

tcontext (u:object_r:sysfs:s0) 表示操作目标的环境，在此例中是归 sysfs 所有的某个file。

顶部的 comm="com.miui.cit" 可帮助您了解拒绝事件发生时正在运行的程序。在此示例中，表示小米的cit测试程序。

所以整体来看，这句avc的log就是属于 system_app的“com.miui.cit”（comm="com.miui.cit"）需要read属于sysfs的panel_info（comm="com.miui.cit"）,但是因为没有权限读取失败。

资料来源：

https://source.android.com/security/selinux/validate

标签：s0,Selinux,app,sysfs,system,com,cit,快速
来源： https://www.cnblogs.com/lixuejian/p/15349987.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。