3.2. 未限制的进程

过程 3.3. Unconfined 进程示例

1. chcon 命令重新标记文件，当文件系统重新标记时，这些标签更改不会保留。对于文件系统重新标记生存的永久更改，请使用 semanage 实用程序，稍后会对此进行讨论。以 root 用户身份，输入以下命令将类型更改为 Samba 使用的类型：

   ~]# chcon -t samba_share_t /var/www/html/testfile

   Copy to Clipboard Toggle word wrap
   查看更改：

   ~]$ ls -Z /var/www/html/testfile
   -rw-r--r--  root root unconfined_u:object_r:samba_share_t:s0 /var/www/html/testfile

   Copy to Clipboard Toggle word wrap
2. 输入以下命令确认 httpd 进程没有运行：

   ~]$ systemctl status httpd.service
   httpd.service - The Apache HTTP Server
      Loaded: loaded (/usr/lib/systemd/system/httpd.service; disabled)
      Active: inactive (dead)

   Copy to Clipboard Toggle word wrap
   如果输出不同，请以 root 用户身份输入以下命令来停止 httpd 进程：

   ~]# systemctl stop httpd.service

   Copy to Clipboard Toggle word wrap
3. 要使 httpd 进程运行没有限制，请以 root 用户身份输入以下命令，将 /usr/sbin/httpd 文件的类型改为不转换为受限域的类型：

   ~]# chcon -t bin_t /usr/sbin/httpd

   Copy to Clipboard Toggle word wrap
4. 确认 /usr/sbin/httpd 已使用 bin_t 类型进行标记：

   ~]$ ls -Z /usr/sbin/httpd
   -rwxr-xr-x. root root system_u:object_r:bin_t:s0       /usr/sbin/httpd
   

   Copy to Clipboard Toggle word wrap
5. 以 root 用户身份，启动 httpd 进程并确认它已成功启动：

   ~]# systemctl start httpd.service

   Copy to Clipboard Toggle word wrap

   ~]# systemctl status httpd.service
   httpd.service - The Apache HTTP Server
      Loaded: loaded (/usr/lib/systemd/system/httpd.service; disabled)
      Active: active (running) since Thu 2013-08-15 11:17:01 CEST; 5s ago
   

   Copy to Clipboard Toggle word wrap
6. 输入以下命令查看在 unconfined_service_t 域中运行的 httpd ：

   ~]$ ps -eZ | grep httpd
   system_u:system_r:unconfined_service_t:s0 11884 ? 00:00:00 httpd
   system_u:system_r:unconfined_service_t:s0 11885 ? 00:00:00 httpd
   system_u:system_r:unconfined_service_t:s0 11886 ? 00:00:00 httpd
   system_u:system_r:unconfined_service_t:s0 11887 ? 00:00:00 httpd
   system_u:system_r:unconfined_service_t:s0 11888 ? 00:00:00 httpd
   system_u:system_r:unconfined_service_t:s0 11889 ? 00:00:00 httpd
   

   Copy to Clipboard Toggle word wrap
7. 更改到 Linux 用户对其具有写入权限的目录，并输入以下命令。除非对默认配置进行了更改，否则这个命令会成功：

   ~]$ wget http://localhost/testfile
   --2009-05-07 01:41:10--  http://localhost/testfile
   Resolving localhost... 127.0.0.1
   Connecting to localhost|127.0.0.1|:80... connected.
   HTTP request sent, awaiting response... 200 OK
   Length: 0 [text/plain]
   Saving to: `testfile'
   
   [ <=>                            ]--.-K/s   in 0s
   
   2009-05-07 01:41:10 (0.00 B/s) - `testfile' saved [0/0]

   Copy to Clipboard Toggle word wrap
   虽然 httpd 进程无法访问标有 samba_share_t 类型的文件，但 httpd 在 unconfined unconfined_service_t 域中运行，并且回退到使用 DAC 规则，因此 wget 命令会成功。在受限制的 httpd _t 域中运行 httpd，wget 命令将失败。
8. restorecon 实用程序恢复文件的默认 SELinux 上下文。以 root 用户身份，输入以下命令恢复 /usr/sbin/httpd 的默认 SELinux 上下文：

   ~]# restorecon -v /usr/sbin/httpd
   restorecon reset /usr/sbin/httpd context system_u:object_r:unconfined_exec_t:s0->system_u:object_r:httpd_exec_t:s0
   

   Copy to Clipboard Toggle word wrap
   确认 /usr/sbin/httpd 已使用 httpd_exec_t 类型标记：

   ~]$ ls -Z /usr/sbin/httpd
   -rwxr-xr-x  root root system_u:object_r:httpd_exec_t:s0 /usr/sbin/httpd

   Copy to Clipboard Toggle word wrap
9. 以 root 用户身份，输入以下命令来重新启动 httpd。重启后，确认 httpd 在受限制的 httpd_t 域中运行：

   ~]# systemctl restart httpd.service

   Copy to Clipboard Toggle word wrap

   ~]$ ps -eZ | grep httpd
   system_u:system_r:httpd_t:s0    8883 ?        00:00:00 httpd
   system_u:system_r:httpd_t:s0    8884 ?        00:00:00 httpd
   system_u:system_r:httpd_t:s0    8885 ?        00:00:00 httpd
   system_u:system_r:httpd_t:s0    8886 ?        00:00:00 httpd
   system_u:system_r:httpd_t:s0    8887 ?        00:00:00 httpd
   system_u:system_r:httpd_t:s0    8888 ?        00:00:00 httpd
   system_u:system_r:httpd_t:s0    8889 ?        00:00:00 httpd
   

   Copy to Clipboard Toggle word wrap
10. 以 root 用户身份，删除 testfile ：

    ~]# rm -i /var/www/html/testfile
    rm: remove regular empty file `/var/www/html/testfile'? y
    

    Copy to Clipboard Toggle word wrap
11. 如果您不需要 httpd 运行，请以 root 用户身份输入以下命令，请输入以下命令停止 httpd ：

    ~]# systemctl stop httpd.service

    Copy to Clipboard Toggle word wrap