SELinux avc 权限问题修改

前言

SELinux(Security-Enhanced Linux)是一套强制性的安全审查机制(强制访问控制)。Android从5.0(L)开始启用SELinux Enforce模式，即既打印异常log也拒绝请求。增强了系统及进程的安全性，最明显的一点是限制了ROOT权限，之前ROOT就能获取所有权限的导致非常混乱的情况得到很大改善。

下面主要记录下，一般情况下 碰到这类权限问题是如何处理的。

问题

在开发中，可能会遇到这类权限问题，通常搜索“avc”即可，如下：

avc: denied { create } for pid=503 comm="idmap" name="overlays.list" 
scontext=u:r:zygote:s0 tcontext=u:object_r:resource_cache_data_file:s0 tclass=file

确认问题

userdebug或eng软件，通过adb命令(adb shell setenforce 0)临时关闭SElinux(使进入Permissive模式) 使请求都能被执行，重启失效。
如果问题消失，这样就能确认是SELinux 权限导致的问题。如果问题依然在，则是其他原因而非SELinux权限导致。
SElinux模式：

• Enforce模式：打印异常log，拒绝请求。没有权限的请求被拒绝后 执行就会有问题。
• Permissive模式：打印异常log，不拒绝请求。请求没被拒绝，执行不会出现问题。

获取当前SELinux状态：

adb shell getenforce   //5.0开始 默认是开启Enforce模式，即获取的值为：Enforcing 

设置SELinux：

adb shell setenforce 0   //设置后即Permissive
adb shell setenforce 1   //设置后即Enforcing

分析

avc: denied { create } for pid=503 comm="idmap" name="overlays.list" scontext=u:r:zygote:s0 tcontext=u:object_r:resource_cache_data_file:s0 tclass=file

这一段log中，主要注意以下几个值(用不同颜色标记出来了)：

• denied -> create //缺少什么权限
• scontext -> zygote //谁缺少权限
• tcontext -> resource_cache_data_file //对哪个文件缺少权限
• tclass -> file //什么类型的文件

上面log就是：zygote进程对resource_cache_data_file的file类型文件缺少create权限。

解决

权限拒绝，一般添加上需要的权限即可。

在scontext.te添加：allow scontext tcontext:tclass denied

如上log就是在zygote.te文件中添加：
allow zygote resource_cache_data_file:file {create };

MTK平台SELinux Policy文件一般存放在：
Google原生目录：system/sepolicy
MTK配置目录：device/mediatek/sepolicy 或者 device/mediatek/{platform}}/sepolicy

快速确认是否编译成功
selinux policy的汇总：用grep在 out/target/product/project/obj/ETC/sepolicy_intermediates中搜索即可。

AndroidQ上ioctl变化

Google在Android Q上增强了对ioctl的审查，除保持对ioctl的审查/授权之外，对具体的ioctlcmd也需要进一步地审查/授权。
/kernel/security/selinux/hooks.c
...
error = ioctl_has_perm(cred, file, FILE__IOCTL, (u16) cmd);
...

对于这样的一条avc log：
avc: denied { ioctl } for comm="BootAnimation" path="/proc/ged" dev="proc" ino=4026532249 ioctlcmd=0x6700 scontext=u:r:bootanim:s0 tcontext=u:object_r:proc_ged:s0 tclass=file permissive=0

在Android Q上，则需要：

allow bootanim proc_ged:file ioctl;            
allowxperm bootanim proc_ged:file ioctl 0x6700;

0x6700 即log中的ioctlcmd。

0x6700这个值一般在sepolicy目录下的ioctl_defines文件中配置。所以在Q上，上述log最终：

ioctl_defines#
define(`GED_BRIDGE_IO_LOG_BUF_GET', `0x6700')
 
bootanim.te#
allow bootanim proc_ged:file ioctl;
allowxperm bootanim proc_ged:file ioctl GED_BRIDGE_IO_LOG_BUF_GET;