SELinux блокирует выполнение php exec («kill pid») без ошибок в журнале

Я пытаюсь получить PID процесса и убить его с помощью этого кода:

<?php
error_reporting(E_ALL);
ini_set('display_errors', '1');

$_script_path = "/path/to/scriptname.php";

$cmd_find_process = "ps aux | grep '[p]hp -f ".$_script_path."'";

echo $cmd_find_process.PHP_EOL;
echo exec($cmd_find_process);
echo PHP_EOL.PHP_EOL;

$cmd = "kill $(".$cmd_find_process." | awk '{print $2}')";
echo $cmd;
echo exec($cmd);
?>

Изначально я не мог перечислить процессы, которые я исправил, скомпилировав собственный модуль SELinux, selinux-httpd-allow-ps-aux.te:

policy_module(myhttpd,1.0.0)

gen_require(`
    type httpd_t;
')

domain_read_all_domains_state(httpd_t);

Я уже отключил операторы dontaudit с помощью:

semodule -DB

Но я не могу убить ни один процесс, который я ранее запускал тем же пользователем: apache. В файле /var/log/audit/audit.log ошибок не зарегистрировано.

Для полного понимания PHP-скрипт, который я пытаюсь убить, выполняется с помощью этой команды:

su -s /bin/sh apache -c php -f /path/to/scriptname.php

Я знаю, что это SELinux, потому что выключение SELinux с помощью

echo 0 > /selinux/enforce

заставит это работать.


linux php centos apache selinux
person Gotenks    schedule 04.04.2016    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Видимо, мне пришлось перезапустить Auditd, чтобы появились ошибки.

service auditd restart

Это ошибка:

type=AVC msg=audit(1459790992.546:15889813): avc:  denied  { signal } for  pid=25478 comm="sh" scontext=unconfined_u:system_r:httpd_t:s0 tcontext=system_u:system_r:initrc_t:s0 tclass=process
    Was caused by:
        Missing type enforcement (TE) allow rule.

        You can use audit2allow to generate a loadable module to allow this access.

Мне удалось решить проблему с помощью audit2allow. Это сгенерированный пользовательский модуль, который устранил проблему.

module selinux-httpd-allow-signal 1.0;

require {
        type httpd_t;
        type initrc_t;
        class process signal;
}

#============= httpd_t ==============
allow httpd_t initrc_t:process signal;
person Gotenks    schedule 04.04.2016