SELinux 防止权限提升攻击的原理与要点

在服务器安全领域，权限提升攻击是攻击者得手后最关键的下一步。传统的自主访问控制（DAC）在面对已获取 root 权限的攻击者时往往形同虚设。而 SELinux 提供的强制访问控制（MAC）机制，则像一道更深层的防线，即便攻击者突破了第一道门，也会在第二道门前被牢牢拦住。

一 核心机制

其核心在于，SELinux 的强制访问控制（MAC）规则覆盖并优先于传统的 DAC 规则。这意味着，即使一个进程以 root 身份运行，只要其操作不在 SELinux 策略的明确允许范围内，访问请求依然会被内核断然拒绝。具体流程是：内核在通过 DAC 检查后，会紧接着调用 SELinux 进行二次裁决，而 SELinux 的拒绝决定具有更高优先级。

一切控制都围绕“安全上下文”展开，其格式为 user:role:type:level。其中，基于 type（类型）的控制是策略的核心。你可以这样理解整个流程：当进程尝试访问某个资源时，内核会请出 SELinux 作为裁判，比对双方的安全上下文与预设的策略规则，然后做出允许或拒绝的判决，并将每一次拒绝详细记录在 A VC 审计日志（通常位于 /var/log/audit/audit.log）中。默认的策略（如 targeted 策略）会为关键服务施加这种隔离，从而大幅降低单一服务被攻破后的影响范围。

二 关键防护手段

那么，SELinux 具体通过哪些手段来构建这道防线呢？

• 最小权限与域隔离（Type Enforcement）：这是 SELinux 的基石。每个服务都被限制在专属的“域”（Domain）中运行，例如 Web 服务器进程运行在 httpd_t 域。该域中的进程只能对策略明确允许的“类型”（Type）执行操作。一个典型的例子是：Web 进程（httpd_t）可以读取标记为 httpd_sys_content_t 的网页文件，但对于标记为 shadow_t（如 /etc/shadow）或其他系统关键类型的文件，默认没有任何权限。即便这些文件的传统权限被误设为 777，只要策略不允许，访问依然会被拒绝。
• 域迁移与入口点约束（domain_auto_trans）：这条规则至关重要，它规定了“当从某个域执行某个特定类型的可执行文件时，进程会自动迁移到目标域”。这确保了程序只能在受控的、预设的域中启动，有效阻断了攻击者利用脚本或可执行文件将进程切换到更高权限域的通道。
• 端口与资源类型绑定：SELinux 的策略不仅管文件，还管资源。网络端口、设备等也被打上类型标签。例如，标记为 http_port_t 的端口（如 80、443），通常只允许 httpd_t 等 Web 服务域来监听。这就能防止一个被入侵的普通服务去绑定管理端口或敏感设备。
• RBAC 角色隔离：基于 SELinux 的用户和角色（如 sysadm_u、staff_u、unconfined_u）进行进一步限制。即使用户是 root，也需要先切换到相应的 SELinux 角色和域（如 sysadm_t）才能执行管理操作。这种设计减少了“权限冒用”的风险，实现了更细粒度的权限划分。

三 攻击场景与拦截示例

理论或许抽象，我们来看两个具体的攻击场景，感受一下 SELinux 的实际拦截效果：

• 场景 1：Web 服务被入侵后读取敏感文件
  在没有 SELinux 的环境下，攻击者一旦攻破 nginx 或 apache 进程，很可能长驱直入，读取 /etc/passwd、/root/.ssh 等关键文件。
  而在启用 SELinux 后，httpd_t 域只能访问 httpd_sys_content_t 等预设类型。当它尝试访问 shadow_t、root_t 等类型时，请求会被立即拒绝，并在 A VC 日志中留下记录。这直接阻断了攻击者横向移动和提权的关键路径。
• 场景 2：利用本地服务或脚本提权
  在没有 SELinux 的环境下，本地漏洞利用（如通过 setuid 程序或服务配置错误）是常见的提权手段。
  在 SELinux 的保护下，服务被严格限制在各自的域中。同时，domain_auto_trans 等规则严格控制了可执行文件的入口点。未经授权的域无法“变身”为更高权限的域，整个提权的调用链因此被彻底切断。

四 运维与加固清单

理解了原理，如何确保 SELinux 在环境中正确、有效地工作呢？下面这份运维加固清单提供了关键操作点：

• 保持 enforcing 模式：使用 sestatus 命令检查当前状态。如需永久变更，编辑 /etc/selinux/config 文件，设置 SELINUX=enforcing 并重启系统。仅在测试环境进行临时调试时，才使用 setenforce 0 切换到宽容模式。
• 校正安全上下文与持久化：使用 ps -eZ 或 ps auxZ 查看进程上下文，使用 ls -lZ 查看文件上下文。定义持久化规则时，优先使用 semanage fcontext -a -t “(/.*)?”，然后执行 restorecon -R 来应用。应避免直接使用 chcon 命令，因为其修改在文件系统重标签或 restorecon 操作后容易丢失。
• 按最小权限原则运行服务：确保服务运行在其专有域（如 httpd_t），避免处于 unconfined_t 这种无限制域。当服务确实需要新权限时，首先考虑使用预设的策略布尔值（例如 setsebool -P httpd_can_network_connect on），其次再考虑创建最小化的自定义策略模块。
• 分析 A VC 拒绝并闭环修复：使用 ausearch -m a vc -ts recent 或直接查看 /var/log/audit/audit.log 来定位拒绝原因。可以借助 audit2allow 或 sealert 工具辅助分析。修复时，应优先选择“调整服务配置”或“修正文件标签”的方案，而非盲目生成策略允许规则。在确有必要时，再使用 audit2allow -m local && checkmodule && semodule_package && semodule -i local.pp 这一套流程来生成并加载一个最小化的自定义策略模块。