SELinux

htARTE（HackTricks AWS Red Team Expert） htARTE（HackTricks AWS Red Team Expert）でAWSハッキングをゼロからヒーローまで学ぶ！

HackTricksをサポートする他の方法：

• HackTricksで企業を宣伝したいかHackTricksをPDFでダウンロードしたい場合は、SUBSCRIPTION PLANSをチェックしてください！

• 公式PEASS＆HackTricksスワッグを入手する

• The PEASS Familyを発見し、独占的なNFTsのコレクションを見つける

• **💬 Discordグループ**に参加するか、telegramグループに参加するか、Twitter 🐦で私をフォローする：@carlospolopm。

• ハッキングテクニックを共有するために、HackTricksとHackTricks CloudのGitHubリポジトリにPRを提出してください。

コンテナ内のSELinux

Red Hatのドキュメントからの紹介と例

SELinuxはラベリングシステムです。すべてのプロセスとファイルシステムオブジェクトにはラベルがあります。SELinuxポリシーは、システム上の他のすべてのラベルと何をプロセスラベルが許可されているかについてのルールを定義します。

コンテナエンジンは、通常container_tという1つの制限付きSELinuxラベルでコンテナプロセスを起動し、その後コンテナ内のコンテナをcontainer_file_tとしてラベル付けします。SELinuxポリシールールは基本的に、container_tプロセスがcontainer_file_tとラベル付けされたファイルを読み取り/書き込み/実行できると言っています。コンテナプロセスがコンテナを脱出してホスト上のコンテンツに書き込もうとすると、Linuxカーネルはアクセスを拒否し、コンテナプロセスがcontainer_file_tとラベル付けされたコンテンツにのみ書き込むことを許可します。

$ podman run -d fedora sleep 100
d4194babf6b877c7100e79de92cd6717166f7302113018686cea650ea40bd7cb
$ podman top -l label
LABEL
system_u:system_r:container_t:s0:c647,c780

SELinuxユーザー

通常のLinuxユーザーに加えて、SELinuxユーザーが存在します。SELinuxユーザーはSELinuxポリシーの一部です。各Linuxユーザーはポリシーの一部としてSELinuxユーザーにマッピングされます。これにより、LinuxユーザーはSELinuxユーザーに配置された制限やセキュリティルール、メカニズムを継承することができます。