apparmor 源码分析

这里不对apparmor做介绍，记录一下源码分析过程。

初始化

static int __init apparmor_init(void) ->  security_add_hooks(apparmor_hooks, ARRAY_SIZE(apparmor_hooks), "apparmor");     ->  该函数主要通过一个结构数组 apparmor_hooks 初始化 HOOK 函数 

apparmor_hooks 结构数组分析
具体定义在这

摘取一段分析

static struct security_hook_list apparmor_hooks[] __lsm_ro_after_init = {     LSM_HOOK_INIT(file_permission, apparmor_file_permission), } 

这里每一个 LSM_HOOK_INIT 都定义了一个 security_hook_list 结构。

security_hook_list 结构定义为：

struct security_hook_list {         struct hlist_node            list;         struct hlist_head            *head;         union security_list_options       hook;         char                              *lsm;} __randomize_layout; 

结合 LSM_HOOK_INIT 宏看：

#define LSM_HOOK_INIT(HEAD, HOOK)              { .head =   &security_hook_heads.HEAD, .hook = { .HEAD = HOOK } } 

可知，LSM_HOOK_INIT 把一个 security_hook_list 结构体中 head 指针指向 security_hook_heads 的一个成员链表，hook 成员初始化为 HOOK函数。
security_hook_heads 我们后面再看，我们这里推测它是一个全局变量。

security_add_hooks
我们回头继续看 security_add_hooks 函数

void __init security_add_hooks(struct security_hook_list *hooks, int count, char *lsm){         int i;          for (i = 0; i < count; i++) {                 hooks[i].lsm = lsm;                 hlist_add_tail_rcu(&hooks[i].list, hooks[i].head);         }         ... 

遍历 apparmor_hooks 结构数组，对每一个数组将该数组添加到 head 指向的列表中。

以上实现即是：将每一个 security_hook_list 挂到全局 security_hook_heads 结构体的某一个成员列表中。而 security_hook_list hook 指向具体函数

security_hook_heads

接下来看看全局 security_hook_heads 是啥

struct security_hook_heads security_hook_heads __lsm_ro_after_init; 

定义就一行，是个结构体， __lsm_ro_after_init 是指定的读写权限，这里不管。

security_hook_heads 结构定义为：

struct security_hook_heads {         #define LSM_HOOK(RET, DEFAULT, NAME, ...) struct hlist_head NAME;         #include "lsm_hook_defs.h"         #undef LSM_HOOK} __randomize_layout; 

简短，但令人迷惑。include 会将对应文件内容放到结构体里。
lsm_hook_defs.h 内容片段如下：(剩余内容类似)

LSM_HOOK(int, 0, inode_permission, struct inode *inode, int mask) ... LSM_HOOK(int, 0, file_permission, struct file *file, int mask) 

把定义展开，结构体就变成了：

struct security_hook_heads {     struct hlist_head inode_permission;     ...     struct hlist_head file_permission;     ... } 

展开后，就找到了前面初始化时对应的 file_permission 成员。

调用

apparmor如何调用具体的权限检查函数呢，以 security_file_permission 为例：

int security_file_permission(struct file *file, int mask){        int ret;        ret = call_int_hook(file_permission, 0, file, mask);        ... 

call_int_hook 定义在这，不贴出来了，展开后结果：

({    int RC = 0;    do {        struct security_hook_list *P;         hlist_for_each_entry(P, &security_hook_heads.file_permission, list) {            RC = P->hook.file_permission(file, mask);                    if (RC != 0)                break;        }    } while(0); }) 

其会根据全局变量 security_hook_heads 找到 file_permission 成员列表上所有的security_hook_list 结构，并调用 hook 指向的 file_permission 函数。

这个 hook 成员前面略过去了，这里看一下，其定义为 union 类型，具体为：

union security_list_options {        #define LSM_HOOK(RET, DEFAULT, NAME, ...) RET (*NAME)(__VA_ARGS__);        #include "lsm_hook_defs.h"        #undef LSM_HOOK}; 

定义与 security_hook_heads 有点类似，区别在于 LSM_HOOK 宏展开方式不一样，并且是一个union 类型，对于 file_permission 展开后变成了：

union security_list_options {    int (*file_permission)( struct file *file, int mask); } 

所以，其就是一个函数指针。这就说得通了。