Init进程初始化安全上下文
新书上市《深入解析Android 5.0系统》
以下内容节选自本书
selinux_initialize()函数调用selinux_android_load_policy()函数装载并向内核设置了策略文件后，接着调用了selinux_init_all_handles()函数，这个函数用来装载系统中所有文件和属性的安全上下文，下面我们看看这个函数的代码：
voidselinux_init_all_handles(void)
{
sehandle = selinux_android_file_context_handle(); // 装载所有文件的安全上下文
sehandle_prop = selinux_android_prop_context_handle(); // 装载所有属性的安全上下文
}
selinux_init_all_handles()函数中会初始化sehandle和sehandle_prop两个全局变量，它们将包含所有的安全上下文，下面我们以文件系统为例，看看它是如何实现的，函数selinux_android_file_context_handle()的代码如下：
structselabel_handle*selinux_android_file_context_handle(void)
{
return file_context_open();
}
这里只是调用了file_context_open()方法，代码如下：
staticstruct selabel_handle*file_context_open(void)
{
struct selabel_handle *h;
h =get_selabel_handle(seopts);
...... // 错误处理
return h;
}
file_context_open()使用参数seopts调用了get_selabel_handle()函数，seopts是个全局变量，定义如下：
staticconst struct selinux_opt seopts[] = {
{SELABEL_OPT_PATH, "/data/security/current/file_contexts"},
{SELABEL_OPT_PATH, "/file_contexts" },
{ 0, NULL} };
selinux_opt类型的第一项是类型，第二项是根据第一项内容而定，上面数组中保存的是文件file_contexts路径，系统初始化时它在根目录下，以后如果有修改，则会保存在/data/security/current目录中。文件file_contexts中保存的就是系统中所有文件的安全上下文。
下面我们继续分析get_selabel_handle()函数：
staticstruct selabel_handle *get_selabel_handle(const struct selinux_optopts[]) {
struct selabel_handle *h;
inti = 0;
h =NULL;
while ((h == NULL) && opts[i].value){
h = selabel_open(SELABEL_CTX_FILE, &opts[i],1);
i++;
}
return h;
}
get_selabel_handle()函数会对数组seopts中的每个文件调用selabel_open()函数，直到返回值不为NULL。实际上就是找到数组中第一个存在的文件并调用selabel_open()函数，注意调用函数时的第一个参数是SELABEL_CTX_FILE，定义为0，第三个参数是1。函数selabel_open()的代码如下：
structselabel_handle *selabel_open(unsigned intbackend,
const struct selinux_opt *opts, unsignednopts)
{
struct selabel_handle *rec =NULL;
...... // 参数检查
rec = (struct selabel_handle*)malloc(sizeof(*rec));
......// 错误检查
memset(rec, 0,sizeof(*rec));
rec->backend = backend;
rec->validating = selabel_is_validate_set(opts,nopts);
if((*initfuncs[backend])(rec, opts, nopts)) { //调用函数指针指向的函数
free(rec);
rec = NULL;
}
out:
return rec;
}
selabel_open()函数调用了initfuncs数组中保存的函数指针，数组定义如下
staticselabel_initfunc initfuncs[] = {
&selabel_file_init,
NULL,
NULL,
NULL,
&selabel_property_init,
};
我们前面强调了参数backend的值为0，所以这里调用的将是函数selabel_file_init()。上面的数组中还有一个函数selabel_property_init()，显然装载属性系统的安全上下文时将调用这个函数。
intselabel_file_init(struct selabel_handle *rec, const structselinux_opt *opts,
unsigned nopts)
{
struct saved_data *data;
data= (struct saved_data*)malloc(sizeof(*data));
if(!data)
return -1;
memset(data, 0, sizeof(*data));
rec->data = data;
rec->func_close = &closef;
rec->func_stats = &stats;
rec->func_lookup = &lookup;
return init(rec, opts, nopts);
}
selabel_file_init()中创建了一个saved_data结构，这个结构用来保存所有的安全上下文。对文件的解析是在init()函数中完成了，这个函数有点长，只是在一行行的解析文件，我们就不展开分析了。
得到了文件系统和属性系统的安全上下文后有什么用呢？，我们再看看Init进程中main()函数中调用的restorecon()函数的代码：
intrestorecon(const char *pathname)
{
char *secontext = NULL;
struct stat sb;
int i;
if(is_selinux_enabled() <= 0 ||!sehandle)
return 0;
if (lstat(pathname, &sb) < 0)
return -errno;
if (selabel_lookup(sehandle, &secontext, pathname, sb.st_mode)< 0)
return -errno;
if (lsetfilecon(pathname, secontext) < 0){
freecon(secontext);
return -errno;
}
freecon(secontext);
return 0;
}
restorecon()函数用来设置路径的安全上下文。首先调用selabel_lookup()函数从sehandle中查找文件或目录对应的安全上下文，然后调用lsetfilecon()函数来设置文件或目录的安全上下文。这也就是读取所有文件的安全上下文并保存到sehandle中的用途。下面我们再看看lsetfilecon()函数是如何设置安全上下文的：
intlsetfilecon(const char *path, const security_context_tcontext)
{
return lsetxattr(path, XATTR_NAME_SELINUX, context, strlen(context)+ 1, 0);
}
lsetfilecon() 函数实际上是调用系统函数 lsetxattr() 来设置文件或目录的安全上下文。