原文请见：http://netsecurity.51cto.com/art/201110/298841.htm

（9）在有权限许可的目录下，运行如下命令来测试httpd进程运行在非限制情况下的效果，如图4所示：

图4  wget命令成功执行

上述的运行结果显示，该命令能够成功运行。虽然httpd进程原来没有访问标记为samba_share_t类型文件的权限，然而由于修改，httpd进程现在运行在非限制环境下（unconfined_t），所以SELinux转为执行DAC机制，而wget命令可以访问该文件，所以成功执行。

（10）测试结束后，需要使用如下命令来恢复该httpd进程本来的运行限制：

1. #restorecon -v /user/sbin/httpd

然而，采用如下命令来进行查看，发现httpd进程又从非限制状态恢复为限制状态：

1. # ls -Z /usr/sbin/httpd
2. -rwxr-xr-x  root root system_u:object_r:httpd_exec_t:s0 /usr/sbin/httpd

（11）使用如下命令重新启动httpd，以时修改在httpd进程运行时生效，并通过ps -ez命令来查看进程的运行状态，如图5所示：

1. #/sbin/service httpd restart
2. # ps -eZ | grep httpd
3. unconfined_u:system_r:httpd_t:s0 2963 ?        00:00:00 httpd
4. unconfined_u:system_r:httpd_t:s0 2965 ?        00:00:00 httpd
5. unconfined_u:system_r:httpd_t:s0 2966 ?        00:00:00 httpd
6. unconfined_u:system_r:httpd_t:s0 2967 ?        00:00:00 httpd
7. unconfined_u:system_r:httpd_t:s0 2968 ?        00:00:00 httpd
8. unconfined_u:system_r:httpd_t:s0 2969 ?        00:00:00 httpd
9. unconfined_u:system_r:httpd_t:s0 2970 ?        00:00:00 httpd
10. unconfined_u:system_r:httpd_t:s0 2971 ?        00:00:00 httpd
11. unconfined_u:system_r:httpd_t:s0 2972 ?        00:00:00 httpd
12. unconfined_u:system_r:httpd_t:s0 2973 ?        00:00:00 httpd

图5  恢复httpd进程的运行限制

到此为止，上述例子详细的演示了SELinux是如何通过限制进程的运行来保证Linux系统安全的，也看到了如果将进程改为unconfined运行状态的安全隐患，因此提醒广大用户在实际应用过程中切忌不要随便将进程默认的限制运行状态改为非限制状态，以免给Linux系统带来不必要的麻烦和安全隐患。

二、管理限制和非限制用户

在前面的介绍中曾经提到过，每个传统的Linux用户在SELinux中都被映射为一个SELinux用户。这使得Linux用户能够继承在SELinux用户上的访问控制。用户可以使用semanage login -l命令来查看两类用户之间的具体映射情况，如图6所示：

图6  使用semanage命令查看用户映射

举个例子，在Fedora 10中，Linux用户默认被映射到SELinux的_default_login中，从而映射为unconfined_u用户类型。

下面通过一个更加具体的在SELinux中添加新用户的例子，来说明SELinux是怎么来映射Linux用户的。该例子的具体操作步骤如下，如图7所示：

图7  在SELinux中添加新用户

（1）以root用户身份，运行useradd命令，添加一个新用户liyang：

1. #useradd liyang

（2）以root用户身份，运行passwd命令，修改该用户的密码：

1. #passwd liyang

（3）退出当前的root运行身份，以liyang的身份重新登录Linux。重新登录后，SELinux将为用户liyang生成SELinux上下文，查看该用户的上下文：

1. # id -Z
2. unconfined_u:unconfined_r:unconfined_t:s0

可以清楚地看到，当Linux添加一个新用户时，SELinux将默认地映射该用户为unconfined_u类型，角色为unconfined_r，以及unconfined_t级别。

限制和非限制用户都需要接受可执行和可写的内存检查，并且受MCS和MLS机制的约束。如果一个非限制的用户执行了一个从unconfined_t域向一个允许的域转变的应用程序，非限制用户仍要接受那个转表到的域的限制。这个就保证了即使一个用户是非限制的，这个应用也是受限的，因此，软件的漏洞所引起的风险就能得到限制