se solution 1

最新推荐文章于 2024-09-20 20:48:49 发布

翻译最新推荐文章于 2024-09-20 20:48:49 发布 · 765 阅读

SElinux 专栏收录该内容

20 篇文章

订阅专栏

本文详细介绍了Android N版本中，Google通过SELinux的neverallow语法增强了对data目录的访问限制，尤其是对于system_app进程的影响。为了绕过这些限制，文章提供了具体的步骤指导，包括在init.rc文件中创建目录，在sepolicy文件中定义类型，以及如何为特定进程分配必要的SELinux权限。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

[Description]
[SELinux] Android N 版本进程无法直接访问data目录的说明

[Keyword]
SELinux, data, 拒绝, permission denied, 安全 , security

[Version]
android >= 7.0

[Solution]
Google 在android M 版本后, 通过SELinux 的neverallow 语法强制性限制了普通进程访问data 目录的权限. 严禁除init system_server installd system_app 之外的其他进程直接操作/data 目录比如在data 目录下面创建文件，写文件，重命名文件等等.

有很多客户都会在data 目录下创建文件, 保存资讯, 在M 版本上这个操作会被SELinux 直接拦截下来，并且没法直接添加访问system_data_file 的权限，N版本上更加严格, system_app也会被拦截下来.

N版本:
neverallow appdomain system_data_file:dir_file_class_set { create write setattr relabelfrom relabelto append unlink link rename };

M版本对system_app有是开放权限：
neverallow { appdomain -system_app } system_data_file:dir_file_class_set { create write setattr relabelfrom relabelto append unlink link rename };

需要按下面的流程操作：
(1). 在init.rc 或者其他的init.xxx.rc 的on post-fs-data 段添加:
mkdir /data/xxxx 0770 root system

(2). 在/device/mediatek/common/sepolicy/file.te 里面添加：
type xxxx_data_file, file_type, data_file_type;

(3). /device/mediatek/common/sepolicy/file_contexts 里面添加：
/data/xxxx(/.*)? u:object_r:xxxx_data_file:s0

(4). 给你的进程添加权限, 比如你的进程的SELinux domain 是 yyyy
allow yyyy xxxx_data_file:dir create_dir_perms;
allow yyyy xxxx_data_file:file create_file_perms;

这样你才能绕过Google 的设置. 这个xxxx 目录随你定义.