Android selinux 解决实例

问题如下，新增一个 设备 /dev/video8， 在 应用访问时 log 中 报出 avc: denied， 是 selinux 问题， 初始的 log 如下：

06-17 20:23:09.244 19650 19650 I pool-4-thread-1: type=1400 audit(0.0:530): avc: denied { read } for name="video8" dev="tmpfs" ino=224395 scontext=u:r:untrusted_app_25:s0:c512,c768 tcontext=u:object_r:video_device:s0 tclass=chr_file permissive=1
06-17 20:23:09.244 19650 19650 I pool-4-thread-1: type=1400 audit(0.0:532): avc: denied { ioctl } for path="/dev/video8" dev="tmpfs" ino=224395 ioctlcmd=5600 scontext=u:r:untrusted_app_25:s0:c512,c768 tcontext=u:object_r:video_device:s0 tclass=chr_file permissive=1

 

解决方法：

scontext=u:r:untrusted_app_25:s0:c512,c768

tcontext=u:object_r:video_device:s0

tclass=chr_file

根据这个信息，一般的做法是 在 untrusted_app_25.te 中增加  allow untrusted_app_25 video_device:chr_file { read ioctl }; 现在 android 也自带了一个 命令 audio2allow -i error.txt （把avc: denied 的log 拷贝出来存成 error.txt）,就可以生成需要增加的语句。但是这样修改后发现， 编译时包 neverallow， 是因为 video_device 是已经定义过的设备， 修改已经定义的设备的权限就可能包 neverallow。

libsepol.report_failure: neverallow on line 384 of system/sepolicy/public/app.te (or line 8744 of policy.conf) violated by allow untrusted_app_25 video_device:chr_file { read };
libsepol.check_assertions: 1 neverallow failures occurred

 

那么，我们怎么修改呢， 可以单独定义一个设备，在 file_contexts 中定义

/dev/video8    u:object_r:video_usb_device:s0

在 device.te 中定义类型(dev_type 类型的貌似需要以 device 结尾，一开始我定义的 video_device_usb, 编译报错)：

type video_usb_device, dev_type;

然后在 untrusted_app_25.te 中 增加：

allow untrusted_app_25 video_usb_device:chr_file rw_file_perms;

理论上 加了 rw_file_perms，这个权限，已经包含了 读 写的 全部权限， 但是 实际情况是 还是 有 avc: denied

06-18 11:48:14.459 8709 8709 W com.cloudminds.roboticservice: type=1400 audit(0.0:286): avc: denied { write } for comm=43616D657261205375726661636554 name="video8" dev="tmpfs" ino=88535 scontext=u:r:untrusted_app_25:s0:c512,c768 tcontext=u:object_r:video_usb_device:s0 tclass=chr_file permissive=0
06-18 11:48:14.979 8709 8709 W com.cloudminds.roboticservice: type=1400 audit(0.0:288): avc: denied { write } for comm=43616D657261205375726661636554 name="video8" dev="tmpfs" ino=88535 scontext=u:r:untrusted_app_25:s0:c512,c768 tcontext=u:object_r:video_usb_device:s0 tclass=chr_file permissive=0
06-18 11:48:15.489 8709 8709 W com.cloudminds.roboticservice: type=1400 audit(0.0:289): avc: denied { write } for comm=43616D657261205375726661636554 name="video8" dev="tmpfs" ino=88535 scontext=u:r:untrusted_app_25:s0:c512,c768 tcontext=u:object_r:video_usb_device:s0 tclass=chr_file permissive=0

这个 write 权限还是有问题， 看到 红色的标记了吗，正常的情况是没有 这两个 c512， c768的。seAndroid 主要采用了两种强制访问的方法： TE  MLS。 我们经常接触到的都是 TE。 这个恰好是 MLS 相关的，这个部分比较难理解，详细的可以读下面连接的文档

https://blog.youkuaiyun.com/l173864930/article/details/17194899。 我用到的只参考了下面的部分：

在SEAndroid中共定义了三个拥有巨大权限的attribute分别是mlstrustedsubject、mlstrustedobject、unconfineddomain，被分类到mlstrustedsubject的type在充当主体domain是可以越过MLS检查，被分类到mlstrustedobject的type在充当客体时可以越过MLS检查，被分到unconfineddomain的type则拥有所有权限可对客体进行任意操作。
在SEAndroid中被分在mlstrustedsubject attribute中的type有adbd、debuggerd、drmserver、init、installd、kernel、mediaserver、netd、surfaceflinger、su、system、vold、zygote。
被分在mlstrustedobject attribute中的type有alarm_device、ashmem_device、binder_device、log_device、mtp_device、nv_device、powervr_device、ptmx_device、null_device、cgroup、sysfs、sysfs_writable、sysfs_writable、sysfs_writable、debugfs、apk_data_file、cache_file、dnsproxyd_socket。
被分在unconfineddomain的type有init、kernel、su。

 

按照上面的说明，我可以把 untrusted_app_25 类型定义的时候加上 mlstrustedsubject, 但是增加后 编译报错，因为 untrusted_app_25 是已经定义好的类型， 再定义会冲突。 那么只能修改 video_usb_device 设备的类型了，这个是我们新建的，可以定义， 在 类型定义中，我增加了 mlstrustedobject， 问题解决。

type video_usb_device, dev_type, mlstrustedobject;

 

转载于:https://www.cnblogs.com/mojl-cnblogs/p/11053174.html