Selinux 快速上手
作者：互联网
快速入手必看：
- 如何确认是否是selinux问题：
可以通过运行 cat /proc/kmsg 或者 cat /sys/fs/pstore/console-ramoops 来获取上次启动时的事件日志。SELinux 日志消息中包含“avc:”字样，因此可使用 grep 轻松找到。
一般如下：
[10104.199705] (0)[433:logd.auditd]type=1400 audit(1609222167.878:20645): avc: denied { read } for comm="com.miui.cit" name="panel_info" dev="sysfs" ino=32487 scontext=u:r:system_app:s0 tcontext=u:object_r:sysfs:s0 tclass=file permissive=0
可以看到permissive=0 代表访问被拒绝，permissive=1代表拥有访问权限。
- 如何生成selinux rule
只需三步，
第一步，把手机里面的policy文件拉到本地。
第二步，复现问题。
第三步，把log喂给audit2allow命令来帮助我们生成selinux rule。
假如有提示本地环境找不到audit2allow，可以手动根据提示安装或者在Android 目录下寻找。
adb pull /sys/fs/selinux/policy
adb shell dmesg | audit2allow -p policy
这里比较灵活，我们可以直接把dmesg喂给audit2allow也可以直接把logcat喂给audit2allow（adb logcat -b all -d | audit2allow -p policy) ，甚至可以直接cat 或者echo文件给它。比如：
echo "[10104.199705] (0)[433:logd.auditd]type=1400 audit(1609222167.878:20645): avc: denied { read } for comm="com.miui.cit" name="panel_info" dev="sysfs" ino=32487 scontext=u:r:system_app:s0 tcontext=u:object_r:sysfs:s0 tclass=file permissive=0 " | audit2allow -p policy
cat logfile | audit2allow -p policy
最后生成的文件如下：
#============= system_app ==============
allow system_app sysfs:file read;
- 修复问题：
最后根据生成的文件,在源码目录找到或者新建system_app.te 把“allow system_app sysfs:file read;” 写入到该文件即可。
原理说明（快速入手可跳过）
我们 仍以下面的例子说明，
[10104.199705] (0)[433:logd.auditd]type=1400 audit(1609222167.878:20645): avc: denied { read } for comm="com.miui.cit" comm="com.miui.cit" dev="sysfs" ino=32487 scontext=u:r:system_app:s0 tcontext=u:object_r:sysfs:s0 tclass=file permissive=0
其规则可以表述如下
avc: denied { connectto } for comm="com.miui.cit" name="panel_info" dev="sysfs" ino=32487 scontext=u:r:system_app:s0 tcontext=u:object_r:sysfs:s0 tclass=file permissive=0
该输出的解读：
上方的 { connectto } 表示执行的操作。根据它和末尾的 tclass (file)，您可以大致了解是对什么对象执行什么操作。在此例中，是操作方正在试图读取文件。
scontext (u:r:system_app:s0) 表示发起相应操作的环境，在此例中是 system_app 中运行的某个程序。
tcontext (u:object_r:sysfs:s0) 表示操作目标的环境，在此例中是归 sysfs 所有的某个file。
顶部的 comm="com.miui.cit" 可帮助您了解拒绝事件发生时正在运行的程序。在此示例中，表示小米的cit测试程序。
所以整体来看，这句avc的log就是属于 system_app的“com.miui.cit”（comm="com.miui.cit"）需要read属于sysfs的panel_info（comm="com.miui.cit"）,但是因为没有权限读取失败。
资料来源：
https://source.android.com/security/selinux/validate
标签：s0,Selinux,app,sysfs,system,com,cit,快速 来源： https://www.cnblogs.com/lixuejian/p/15349987.html