安捷伦N9030A频谱仪Scpi接口协议
安捷伦N9030A频谱仪Scpi接口协议，英文版资料，很详细实现连通对于VISA必须注意:虽然应用指南14659/1465-11Ⅵ ISA API是标准的,但各厂商则是在早期自动测试中,系统控制概要器称为台式计算器或仪器控制器用VSA层下的不同层控制硬件。此它只有有限的处理能力和少量的外,各厂商还可能为它应用层的独测试系统中的一些因素会增加存储器。为使语法尽可能简单,设备特特性作了增强。为使其能完成所Vo连接的负担。比如系统中的仪器制造商采用短命令,先是二进制,后有工作,主计算机中安装的VSA版数,要执行的测试数,命令量、状态消息,以及要传送的测试数据。LAN本必须与IO硬件兼容(这正是PC采用ASCI1技术是解决负担问题的最好方法。标准IO,如LAN和LSB的另一优它是GPB的快速和低价的替代方不同制造商定义他们自己的命点,支持这些按口的任何版木SA案,在连接距离和锁定连接器上也令串,通常是针对各仪器特定功能都能工作,因为低级驱动程序已标超过UsB。的专有命令。在系统中要把仪器更准化)换至另一厂家的仪器,甚至用新仪当前一代PC多数都有内置的器更换同一厂家的较老仪器,都可更自由地选择LAN端口,因此测试系统的计算部分只需最小的物理配置。测试仪器能需要完全重写系统软件。与测试和测量行业1O的进步拥有LAN端口也越来越平常。此同时,PC行业一直在追求DO和程外,像 Agilent E5810 A LAN/ GPIB仪器命令还不是故事的全部。序语言的独立性,Mco建立了网关这样的装置能在基于LAN的测控制器和系统仪器间的连接性需要组件对象模型(COM,这是允许不试系统中容易地包括仅有GPB的另增的软件层。历史上的1O软件层同软件厂商制作的组件组合进入各较老仪器。包括了库,如标准仪器控制库种应用的软件体系结构。COM不依(SICL)或NL-48应用软件通过使赖于任何特定的程序语言作出系统使用LAN的决定用这些库实现与仪器的直接通信。也能更容易地与同事共享数据、结各厂商都有专用于与自己IO接口为融入语言独立性的优点果、报告等。但它也为可能影响系统性能和完整性的恶意威胁和不经意通信的专有应用程序接口(API)。这 Agilent开始建立作为ⅤISA标准伙的风险开启了大门。幸而有保护的给用不同厂家设备建造测试系统的伴的 VISA COM。 VISA COM是专用LAN能屏蔽网络免受大部份风系统开发者带来很大困难一当然, VISA API I面向对象的表述:ⅥSA险,并保证最大的吞吐率。大多数许多系统用过的(和还在使用的)设AP通过使用组件对象模型而进入 Windows PC和低价网络设备的这备确实来自多家厂商。应用层。些标准能力有两种可行的实现方法:一种是围绕LAN路由器建造标准化AP其结果是:Ⅵ SA COM使您能另一种是基于配有两块LAN卡的为更容易构建多厂商测试系统,自由选取最流行的1O配置,从选PC。组仪器厂商建立了虚拟仪器软件择“COM友好”语言,如C#、 VisualBasc6和Ⅴ isual basic.NET诸语言为在PC中建立与LAN使能仪体系结构(VISA)。它提供标准化的器的透明通信,还需要做一些工作。AP,允许通过公共接口一直接或中获益。如我们后面的讨论,您选择成功取决于 Microsoft windows xP使用驱动程序控制仪器。从应历的的应用开发环境(ADE)将影响对的LAN服务,以及 Agilent IO Li观点来看,各厂商的ⅤSA似乎相同。您应用的最佳库和API选择。braries suite14所提供简化和加速连接过程的一些附加能力。1为更多了解仪器控制的发展,请参看应用指南1465-3理解驱动程序和直接O,25页www.agilent.com/find/systemcomponents实现通信标准化直接Mo今天,SCPI仍是使用最多的仪器控当您使能了连通能力后,就要1989年,HP2推出称为测试和制形式。决定如何实现主计算机和系统仪器测量系统语言(TMSL)的仪器通信间的通信。有两种可选方案,即直接语言,在改进一致性和易用性上:作IO和仪器驱动程序。直接O建立了尝试。其后HP和其它八家制造与各仪器的直接连接,它较快,但限商以TMSL为起点,共同致力建立制了仪器的互换和软件重用。大多通用的仪器控制方法。其成果是数仪器驱动程序使用直接IO和SCPI,即可编程仪器的标准命令。SCPI,但有时它会隐藏连接。总之,驱动程序以降低灵活性(可能还有SCPI在仪器固件中的实现使用速度)为代价换取改进的互换性和于直接LO的程序语法更鲁棒和更重用能力。在许多情况下,您可既使可预期。语法定义了严格的层次,规用仪器驱动程序,又使用直接O,定了跨仪器型号的一致性命令、响以实现最佳速度、灵活性和测量功应和数据格式。所定义的这些命令能的平衡。和响应适用于源、敏感和开关装置。表1:这一 Visual basic6框图使用ScP和Ⅵ SA COM IO与函数发生器通信Dim Egen As VisaComL-b. FormattedIo488Code removed: Set up the connection to tre instrumentWith fenWritestringReset the function generator工. ClearClear errors and status registersWritestring "FUNCtion PUlSeSelect pulse waveshapeWritestring "OUTPut: LOAD 50Set the load -mpedance to 50 ohms (defaultLOW OWritestringVOLTage: HIGH 0.75Figh level=.75 VWritestring "PULSe: PERiod 1e-3Writestring "PULSe: WIDTh 100e-6Pulse width100usWritestring PULSe: RANsition 10e-gi Edge time is -0 ns (rise time fall time)Iritestring OUTPut ONTurn on the instrument outputFcr I =0 To 18Vary edge by 5 nsec stepsWritestring " PULSe: RANsition " s(0.000C0001 +I*0. 000000005300mEnd with21999年HP把它的测试和测量业务分拆至 Agilent改进互换和重用于ⅠⅥI标准的出现,NⅠ为遵循探索应用的替代方案SCPI是一项重大进步,但仪器标准更新了它的工具,但基于专打包的压缩软件通常以性能和驱动程序的后续发展已使互换和重有工具的许多系统仍在使用中。灵活性为代价,提供测量和分析的为获得重用和可互换能力,TV-用达到全新的水平。仪器驱动程序C需要用附加补丁软件围绕不直便利。这样的产品一般非常适合产(或简称“驱动程序”)是使能PC与品开发期间使用的小型系统或一次仪器间的通信,针对特定仪器(或特接攴持软件互换能力的核心DLL性系统。与其相反,定制软件往往是定仪器门类)的高层软件部分。对软技术,应用程序必须调用中间驱件开发者来说,驱动程序通过指导动程序(一个“YVC类驱动程需要高性能和最大灵活性的设计验证和生产测试这类应用的最好答案。开发者完成各必要编程步骤和在程序”),然后由它接着调用实现该序环境内提供仪器能力简化编程和功能的专门仪器驱动程序。简化基本分析任务缩短开发时间(而不是像SCPI和直‘1coM:通过利用COM计算有一些替代通用开发环境的方接IO那样在手册中)。机标准,该标准能最大限度实现案。一个例子是“目标应用”,它针可互换性和重用。 IVI-COM驱动对特定的测量或技术领域,或针对第一代驱动程序针对特定厂商,程序与标准PC组件体系结构软产品开发生命期中的特定阶段或任通常使用特定ADE工作(有些遗存的应用程序还在使用这样的专用驱件相集成,从熟悉和方便的务。这些应用包括为非经常性测量动程序)。但今天巳有三种类型的标ADE控制仪器,以得到生产能力所设计的软件(手动或半自动)。这准化仪器驱动程序。它们与多种的极大改进。IVI-COM驱动程些软件一般用于产品开发的较早阶ADE一道工作,能使仪器与任何厂序用VISA( ISA COM或段或设计验证期间。商的IO硬件通信。ⅥISA-C)控制VX或GPB仪器。由于许多新的仪器包括计算机标像 Agilent IntuiLink连通性软件·VⅪ即插即用:它们原来是为模准O,如IAN和USB,用于非(免费)和 Agilent BenchLink(低价)块化ⅤⅪI仪器开发,后来又扩展GPB仪器的 VI-COM驱动程这类应用软件能容易地用于执行半到非VXI仪器。通过VISA库,序并不要求使用VSA,虽然许自动测量,收集效据和分析来自各种仪器的结果。这两种应用软件使致性的驱动程序提供Ⅰ/O多使用了VISA用驱动程序或直接IO一以实现仪器VXI即插即用WIN32驱动程序规范能在所有流行语言中工作,如果您不能确定使用的是何种通信、控制和数据传输。O技术或驱动程序,可检查仪器通是今天使用最广的驱动程序体系结构。信所使用的连接串或“仪器地址”VISA型串的形式如“ TCPIPⅣ-c:ⅣVL-C有二个明显不同的34980A.tm.agilent.com:inst0驱动程序。该术语通常适用于基NSTR”,而基于SCL的串则如“lan于NI专有工具的驱动程序。由34980A.m.agilent.com]nst0"www.agilent.com/find/systemcomponents· Intuilink:这种连通性应用软件BenchLink是 Windows基应用钦比较开发环境通过在流行PC应用软件,如件(图2),它用电子数据表格式Windows word和 Excel中增加流程化数据收集、展示和分析。您行将选择的软件环境对建立工具条简化数据传输。 Intuilink它也能通过包括在IO软件中的和维护测试系统所需要的时间、工作量和成本有极为显著的影响。开能从测量仪器直接取回数据,使LAN、USB或GPIB与仪器通信发环境可以是图形式的,或者是文您能保持在PC应用软件中,并还有对 BenchLink的更高售价本式的。如 Agilent VEE Pro和N使用其熟悉的界面。通过支持LabvIEw这样的图形环境使用图示GPB、USB、LAN和 Fire wire接替代方案,包括适用于功能测试的方法,工程师掌握这种方法比较容口, ntuilink也消除了仪器与PC仪器控制软件和特定域应用软件易。您只需操纵代表命令和功能的间的壁垒产品范围从一般测试执行程序到针图标用程序流线把它们连接,这样对应用的程序,如蜂窝电话管制测做能更容易看到执行路径和交互Benchlink:这种低价的应用软试L具。所有这些都服务于减少仪它也为您屏蔽了下层的语法。针对件有支持各种仪器的版本。器编程、连通和通信的负担测试和测量的图形环境还有扩展的1/O和仪器驱动程序,以及与测量相关的数学运算及图形能力。图形编程最适合小型和中型的测量应用图2. Agilent BenchLink Data Log9gr提供电子数据表形式的测试设置,以及对测量的实时显示和分析而对大型程序,可视接口则变得难以理解X吧国园xScen Setup SWich Cortrol l相反,文本程序则较难掌握,因Enablerecopy To Cupboard CrannetslodsMep为需要全面和深入了解编程语言的20-Chwnnel Amwu Mu曲啪母图·世留队茶命令和语法。但由于多数文本语言是基于开放标准,它们提供对开发0.036612435DC)环境、软件工具和培训机会的更大Awerage value. -0.0367263015253828选择。而且有众多适用的第三方驱动程序、工具和插卡。文本程序最适-1.157E06cDC)合大型复杂程序,因为更容易浏览Average Voke:-11016209107932E-06和理解。Rslerence Ref Unt MaterA Maxmum value: 1. 414E-0S过去,文本编程所产生的应用10.00md004212221444wdoChae5000c0024254程序在运行时间上有明显的速度优Minmum Value:-2357E-06势,它超过图形编程所产生的应用Count: 1184yl(02Auro ScoleD.002884919Della0010.64程序。但在今天,这两种方法产生的one Fo Computed应用程序在运行速度上相差甚小。最大化性能和灵活性屏上帮助: Intellisense特性和具有 Agilent测试和您可选择支持定制测量软件创F帮助”能力与基于COM和测量工具集的Ⅴisua| Studio建的方案。其范围从测试自动化应NET的第三方驱动程序和软件Agilent测试和测量L具集2.0用软件到使用图形或文本编程的全协同工作。例如驱动程序的功能开发环境。您选中的方案将确Intellisense窗显示所有可用的榮具有测试自动化能力,它使用一套作,对每一项操作的简要描述,集成和易于使用的软件工具和组件定仪器通信的最好选择。以及所有允许参数的概要和说项目向导、API、类库、 widgets、Microsoft visual studio明。对于各种驱动程序或部件,图形、驱动程序和其它工具扩屐V只需按F1键,就打开展现该驱 sual studio的NE版。所建立的坏Ⅴ Visual studio是文本式的编程动程序在线帮助手册的新视窗。境简化了把测试和测量融入定制应解决方案,它提供扩展的开发工具这种上下文相关的屏上帮助要比用软件的过程。在 Visual Studio环和内置的帮助能力,以加速Win-翻阅印刷的编程手册快得多。境中使用测试和测量工县集2.0,您dows基应用软件的开发。集成的就可使用所中意的文本编程语言,开发环境为所有支持语言提供一致种测试系统应用软件也有·把您的新代码与在其它语言中编写性的接口,包括 Visual basic,CH+项缺点:即Ⅴ isual studio中的新.的已有代码相集成。和C#。NFT基语言难以使用CAPI。Microsoft程序语言最新版用NET技测试和测量工具集2.0还提供作为标准化的主流开发产品,术与驱动程序及第三方软件通信二加速和简化系统开发的一些其它Visual studio有如下优点NHT迅速扬弃了CAP技术。这影能力。开放性:由于Ⅴ isual studio是开响到YSA1O库的CAP版本,以· DirectIo类:这是直接向仪器发放和应用广泛的标准,因此能与及IVC和ⅤX即插即用驱动程序送命令的最简单方法。任何其它编程技术通信。这样,为解决这一问题, Agilent为VlSA您就能用数以千计的第三方工具^PL提供NET的包装程序。该包·包装的ⅤX即插即用驱动程序软件和驱动程序等一来支持装程序可免费从www.agilent它把驱动程序集成至.NET,县您的开发工作。com/find/iolib下载,它也已包括在有全部 IntelliSense和F1帮助能Agilent IO库产品中。力。测试和测量工具集也能认识coM友好: Visual studio能使用和使用带有内置 Intellisense的基于 Microsoft com的编程技术IV-COM驱动程序。良好工作。包括Ⅴ ISA COM和IVI-COM。●仪器资源管理器:用这一工具能容易地看到和编辑仪器IO配置初始化与仪器的通信。www.agilent.com/find/systemcomponentso监视程序:这一公共程序使 Agilent VEE Pro由于 VEE Pro是开放和对标准您能更容易地使用仪器控制软件对于寻求替代文本编程的L稗友好的环境,它也为测试系统开发和仪器驱动程序—IVI-CON,师来说, Agilent VEE Pro70是能提供一些好处:VXI郎插即用驱动程序一通过监视直接LO下层发送至仪器的加速建造和编程测试系统进程的强直接JO:通过其容易和强大的直大而易用的程序环境。为创建一个命令和返回的结果数据诊断问题接I/O能力,Ⅴ EE Pro提供对直(图3)。程序,您从宏大的库中选择高级图接IO的极好支持,以控制任何形对象,把它们用直线或“导线”连标准仪器和许多厂商的PC插卡。这样, Visual Studio和测试和测接。导线连接规定了直观框图中的量工具集的有机结合就能解决与定功能和序列。仪器驱动程序: VEE Pro支持各制应用软件连接和控制测试设备相种工业标准驱动程序,如IVI关的许多难题。COM和VⅪI即插即用驱动程序。它支持上千种驱动程序,以及70多家制造商的流行仪器。图3.测试和测量工具集的监视程序跟踪o层,提供 Agilent VISA. SA COM,SCL和SCL细·COM和NET:对于不熟悉NET节,帮助您找到源代码中的瓶颈问题程序语言而又需要使用这些能力9 Agilent IO Monitor的工程帅来说, VEE Pro关注各Fle View Monitor Help种细节,可确保COM与NETG區母■园Time Stamp Progr3 aDdress」soe」 FunctionI 10 Data Ret Val Time(ms)软件的成功交互14: 03: 34.909 vaexe gpib. 22 SICLSICLcausee0367014: 03: 34.910 vaexe gpib. 22 SICLSICL:: Prompt1222573014: 03: 34.911 vaexe gpib. 22 SICL Detail SICL B: tulip write " TST?. 0 85.350014: 03: 34.997 va exe gpib, 22 SICL Detail SICL B: tulip read152129210SICL B: tulip write- Process ID 1884: Thread ID 1880Parameters.InputNameTypeValueA OffsetHexadecimalASCllin int327400000002a54535430..TSTImein uint 32in uintain uint32ab al Is评估ⅣO软件替代方案ADE VS. O APIIVI-C和 IVI-COM。它们与多种我们的最终目标是使您能用最选用ADE将影响为您的应用选ADE一道工作,可通过任何厂商的少时间确定测试系统中应使用何种择最好的IO库和API。表2示出IO硬件与仪器通信。IO库或驱动程序。这项工作在今天 Agilent支持的各种IO,为各ADE表3从左到右示出三代驱动程是不可避免的一但我们能提出简化推荐的库,以及首选的和历史上的序标准化的进程一专用、测试和这一过程的几项建议。替代方案。测量标准和PC工业标准。它也代仪器驱动程序vs.直接o作为一个值得注意的例子,在表了驱动程序技术的过去、现在和在比较驱动程序和直接顶O时,使用Ⅴ isual basic6时,我们认为未来需考虑两项关键因素。一是开发诫 VISA COM优 J VISA AP,因为为加速测试系统开发,我们推度和执行速度的权衡:驱动程序有VISA COM是面向对象,而VISA卷仪器控制使用最新 VI-COM驱动更快的开发速度,而直接IO则能AP是层次观察。使用COM版意谓程序和VX即插即用WN32驱动更快地执行。着您不需要为YB对象增加bas文程序。ⅣCOM驱动程序技术是建件(需要通过参考),并且VISA造于PC标准体系结构之上的唯一另一项因素是能访问的仪器功COM允许使用上下文相关的种。在COM上建造的部件驱动能。驱动程序通常覆盖仪器所有功 ntcllisensc都助,。程序可在所有流行PC语言和大多能的一个子集—一般限制为最常使用的功能。相反,直接ⅣO与SCPⅠ ADE VS.仪器驱动程序数测试和测量语言中L作。此外,它利用最流行的IO形式,可用于最命令的组合能访问仪器可编程功能如上所述,有三种类型的标准新NET技术之中。的100%。如果您既想利用驱动程序化仪器驱动程序:ⅤXI即插即用的优点,又需要访问所不支持的特性,在一个应用程序中使用这两种方法是有可能的。表2ADE和推荐的|O库应用开发环境推荐的库支持的替代方案首选历史Visual basic 6VISA COMVISA With visa 32. basSICLVisual c/ct+VISA With visa 32. hVISA COMSICLVisual basic net测试和测量工具集直接WOⅥ SA COMC#和其它NET语言VISA With visa32 csVISA with visa32, vb表3ADE及其推荐的仪器驱动程序仪器驱动程序家族专用测试和测量测试和测量组件Pc(针对一种语言)(基于测试和测量标准)(基于PC标准)Labview即插即用abwindows/cⅥ即插即用V-COMVX/即插即用GN)WNVX即插即用VEE Panel驱动程序VI-Cwww.agilent.com/find/systemcomponents成就测试系统的未来术语输入/输出层一也称WO层;该软件与外部装置(如仪器)交互,发布命令和开放标准,如COM和LAN巳ADE一应用程序开发环境;这一软件收集数据。被计算机世界广泛接纳,现在又正开发程序的集成套件可能包括文本编辑成就着测试系统开发的未来。通过器、编译器调试器,以及用于建立、维V—可互换虚拟仪器;这是一种标准最大化软件重用,更容易的仪器互护和调试应用程序的其它工具。仪器驱动程序模型,允许对不同仪器型换,包括不同型号甚至不同品牌仪号和门类有一致的程序形式。AP|—应用程序接口这是严格定义的器的互换,这些标准加速了系统的套软件例程,通过它,应用程序能访ⅣMcOM驱动程序一也称M组件驱动开发。通过允许您在一个应用程序问操作系统下层或可重用软件库提供的程序;M驱动程序作为COM对象出中使用直接IO,SCPI和驱动程序,功能和服务。现,它保留您所选开发环境的所有能力。标准也提高了系统的功能性和性能。C#一读作“ C sharp”;这是新近面向LAN—局域网您选择的开发环境应能将测试组件的程序语言,它类似C+,并组和测量更容易融入定制应用程序中。合了C和Java语言的属性。库一汇集可调用的软件操作可重用的如果您更乐于使用文本程序,带有coM一公共对象模型,也称Mcot软件功能意味着可由其它程序使用。agilent测试和测量工具集的 Visual COM:它允许软件开发者创建可与现NET框架用于应用程序开发的平台,Studio将能避免与测试设备连接与有应用程序一道使用,而不需要修改程它在 Windows环境中提供大的操作库,控制有关的许多问题。如果您愿采序的新软件组件;这是为软件重用对鼓励软件重用,减少程序员错误和简化用图形程序, Agilent VEE Pro是开DLL的改进。应用程序的开发;它的两个主要组件是放和对标准友好的环境,它支持直公共语言运行时间和类库接IO和驱动程序,以及COM和.直接Wo一直接输入/输出;与仪器通NFT技术。信,但没有驱动程序的好处(或开销);即插即用驱动程序—也称通用仪器驱成功使用直接MO需要深入了解可编程动程序;VⅪ丨即插即用驱动程序被非为了解简化系统集成的更多方仪器的标准命令(SCP)。VⅪ仪器采用;用户编写的程序也能调用库功能。法,加速系统开发和利用开放连通DLL—动态链接库由其它应用程序使能力的各种优点,请访问:wWw.用的一套软件操作;它可随时加载,作scP|一可编程仪器的标准命令;定agilent. com/findlopen。您也能由为可重用软件库的容器由多个应用程序义了全套控制可编程测试设备的通用此链接到我们的系统开发者在线社同时共享。命令。区,通过签约优先获得本系列中未来的应用指南。只需寻找链接“Join驱动程序—也称仪器驱动程序这是驻SCL一标准仪器控制库;这是模块化存在计算机上和用于控制仪器(如数字仪器通信库,能与各种计算机体系结your peers in simplifying test-system多用表、示波器、网络分析仪)的功能构、丨O接口和操作系统一道工作;已被Integration汇集:也是ScL,直接O和SA的VsA取代替代方案。USB—通用串行总线;设计用于取代GP|B—通用接口总线;这是用于测试PC中的RS232和RS422串行总线设备与测试系统连接的最主要8-bt并行ⅣO连接。UPnP一通用即插即用;这一网络体系结构保证了装置、软件和外设的兼容HPB— Hewlett-Packard接口总线:性;它不同于即插即用或VX即插即用GP|B的另一名称驱动程序。10
- 2020-12-11下载
- 积分：1
linux-selinux功能及源码分析
该书详细介绍了linux中关于selinux部分功能的实现流程和关键代码分析7.1.1.3基于创建者SID的文件系统.,,7.1.2 Gcncralizcd Sccurity Context labeling,,,,637.1.4 Mount-Point labeling667.1.5 Initial SId87.1.5.1 Initia1SID和 Initial sc的定义7.1.5.2 Initia1SID和 Initial sc的写出和解析707.1.5.3 Initia1SID和 Initia1SC的使用717.1.6进程创建的内核数拥结构的标签727.2何时需要为应用程序开发pp?●··垂·看垂723设计pp的一般过程7.4为vock程序编写v1ock.pp●垂春·垂767.4.1第一阶段:定义基本的te,fc和.if文件767.4.2第二阶段:根据 AVC Denied msg补充相应的规则807.4.3第三阶段:使用 don audit规则屏蔽与冗余操作枓关的错误信息7.4.4其他注意事项87.5为 samhain程序编写 samhain.pp..857.5.1第一阶段:定义基本的.te,,fc和.if文件事垂垂7.5.2第二阶段:根据 AVC Denied msg补充相应的规则07.5.3第三阶段:使用 don audi t规则屏蔽与冗余操作相关的错误信息927.5.4图解:使用 samhain时的 Domain transition过程春春鲁看D垂垂春,,937.6使用 SLIDE来开发pp,分析 SELinux源代码.7.7编写pp时的注意事项中垂鲁鲁··●,,,,,,,,,,,948. SELinux问题分析步骤总结.8.1排除DAC权限的问题,,,968.2检查用户当前所扮演的角色963分析 AvC Denied message: Target的标签正确吗?,8.4在系统启动过程中适时地修复错误的文件标签97应用程序的实际行为要和其pp的假设相一致,,,,988.6明确相应 domain所缺少的权限8.7其他注意事项8.7.1在 Permissive模式卜调试,998.7.2取消所有的 dontaudit规则.8.7.3当心 MLS Constraints1008.7.4检査 SeLinux- aware应用程序的配置和编译选项,.1018.7.5积极地和社区交互.1018.7.6使用 strace直接定位失败的系统调用(重要!).………1028.8 selinux问题分析过程和方法举例( Revisited),,1028.8.1实例一:用户无法在 console上正常登录-使用 strace定位失败操作1028.8.2实例二: sysadm r无法正确使用 useradd命令108SELinux开发笔记.…,,1149.1使能对/dev/ console的支持1149.1.1提出问题:20101213及之前的 epolicy缺乏对 conso1e的支持9.1.2分析问题··p9.1.3解决问题.1169.1.4测试结果1179.1.5使用 strace观察 consolo被重新打标签的细节(new),,,,1179.2 Socket labeling开发,1189.2.1提出问题: socket默认继承其创建者的SID的副作用,,,,,1189.2.2分析问题1199.2.3解决问题1199.2.4测试结果.,.1239.3给 role transition规则添加c1ass的支持,,..,,1249.3.1提出问题-当前 role transition规则只对 process类有效,,1249.3.2分析问题..,,,,,.1249.3.3解决问题D垂垂垂,,,,,1259.3.4测试结果,,,,,1319.3.5其他说明.1339.3.6经验总结●非春…1359.4增加 role attribute的攴持(new).,,,1369.4.1提出问题之一:roe- dominance规则的局限性1369.4.2提出问题之二:期望的 role attribute使用模型..1409.4.3分析问题1429.4.4解决问题D1439.4.5测试结果639.4.6一个有意思的编译问题,,,,1689.4.7有关role- types规则语法的讨论.,,.1719.5区分 tuna1e和 boolean(new).···1729.5.1提出问题无用的 tunable分支被写入 policy.X.729.5.2分析问题1739.5.3解决问题,,1749.5.4测试结果.1879.5.5其他经验总结9.N在策略中指定 newcontext的缺省设置方法(todo)1929.N.Ⅰ提出问颋- newconteκt的设置策略被硬编码到机制中19210. SeLinux内核驱动分析小记19410.1LSM核心数据结构及相应回调函数,19410.2 sELinux核心数据结构.19410.2.1 selinux对内核数据结构的扩展19410.2.1.1进程的安全属性19510.2.1.2文件和打开文件描逋符的安全属性.,,.,,,,,,..19510.2.1.3 socket的安全属性10.2.1.4文件系统超级块的安全属性1960.2,2AVC数据结构.19710.2.3內核 policy中保存TE规则的数据结构.,19910.2.4內核 policy中保存RBAC规则的数据结构.鲁鲁,,,,,20010.2.5 SeLinux规则在内核中的检查点总结(new)..,,,,,,20110.3情景分析:打开文件时的相关函数调用链20110.4通过 SEL inuxfs访问内核 Security Server,,,,,,,,,,,,,,20810.4.1/ selinux/load和1 oad policy命令一装载冰解析 policy.二进制文件20910.4.2/sc1inux/ relate1及 compute relabel命令-查询 type change规则21110.4.3/ selinux/ create及 compute create命令-查询type_ transition规则21110.4.4/ selinux/ member及 compute member命令-查询 type member规则.21210.4.5/ selinux/ access文件和 compute av命令-查询a11ow规则...21310.4.6/ selinux/user文件和 compute_user命令-查询用户登录后可能的SC21310.4.7/ selinux/ initial contexts/-查询 Initia1SI对应的安全上下文21410.4.8/ selinux/ class/-查询内核 class datum数拥结构(todo10.5情景分析: Domain transition的实现●··垂·看垂,,,,,,,,,,,,,,,,,,,,,21510.5.1 selinux setprocattr凼数-/proc/lpid/attr/“文件驱动21610.5.2 do execve的行为和相关 seLinux内核驱动垂垂看21810.6情景分析:文件系统的挂载和新文件的创建2110.6.1文件系统的挂载过程(new)..22110.6,2确定新创建文件的标签...23610.7 Context数据结构和u32sid之间的映射24110.7.1 sidtab node的定义和 sidtab的组织结构.24110.7.2 sidra_ insert函数- sidtab node的插入·,,,,,,,,,,,,,,24210.7.3 sidtab context to sid函数返回或分配sid..24310.7.4 security transition sid函数-计算新 subject/ object的sid....24410.7.5创建 context并注册到 sidtab以获得sid的时机.24910.7.6 security context to sid函数返回Sc字符对应的sid....25010.7.7 sidtab scarch corc囪数- sidtab node的查找,,,25110.7.8 security sid to context core函数-返回sid所对应的SC宇符串25210.8 Class Mapping..25410.8,1C1 ass mapping的作用..,,,,,25410.8,2 Class Mapping的创建垂垂垂·,,,,,,,,,,,,,,,,25410.8.3 Class mapping的使用-c1ass/perm内核态和用户态索引的转换.25710.8,4增加 class或者权限的方法25810.9和文件操作相关的回调数9. 1 selinux file mprotect回调函数25910.10和 AF UNIX SOCket相关的回调函数(todo),26310.11和程序执行相关的操作(todo).26410.11.1se1 inux bprm secureexec凼数-扩展 AT SECURE机制26410.11.1.1C库 AT SECURE机制介绍26410.11.1.2C库 AT SECURE机制演示26710.11.1.3 SELinux对 AT SECURE机制的扩展( Revisited).26911.用户态应用程序对 SeLinux的支持27211.11 selinux相关文件分析,27211.1.1 selinux config,c文件.,,27211.1.2 gelfilecon.c文件,,,,,27211.1.3 procattr.c文件.27211.1.4 compute relate1.c文件(访问/ selinux/ relate1)..27311.2 newrole源代码分析,27411.2.0 newrole命令的使用模型2742.1main函数7311.2.2 parse command linc arguments函数.,,,27611.2.3 relabel tty函数2761.3PAM模块分析..,27711.3.1 pam sC1inux.so作用分析(TODO27711.3.2pam1 oginuid,so作用分析,27811.3.3 pam name space.so作用分析.,27911.3.3.1多态( polyinstantiation)的作用,,,,,,,,,,,27911.3.3.2LSP对多态的配置,,,,,,,,,,,,,,28111.3.3.3 SELinux对 polyinstantiation的支持.,,,,28111.3.3.4解决在使能多态后 crond的使用间题28211.3.3.5 pam namespace,so源代码分析(IODO11.3.3.6有关 pam namespace.so的剩余问题8412. refpolicy的编译,链接,扩展,,,,,,,,,28512.1描朮标识符的数据结构8512.1.1 type datum t8512.1.2 common datum t12.1.3c1 ass datum t.,,,,,.,,,,.28612.1.4ro1 e datum t..,,,,,,曲D,.,28712.2描朮规则的数据结构..28812.2.1 AVTAB AV和 AVTAB TYPE类规则..,,,,28812.2.2 rolc transition规则●·垂,,,,,,,,,,,,,,,,,29012.3用户态 policy t数据结构分析.12.3.1 policy t数据结构综诚29012.3.2 symtab符号表.29412.3.3 avrule block t, avrule decl t FH scope stack t12.3.4 scope datum t-描迒标识符的定义者和使用者29712.3.5 scope index t-描逋一个b1ock/dec1内定义或引用的标识符.29712.3.6 cond node t-描朮一个ir- else conditiona29812.4 module的编译- checkmodu1e..30112.4.1编译过程核心数拥结构关系图30112.4.2 define policy- policy module词法分析....30212.4.3 begin optional- optional_ policy词法分析30412.4.4 declare type-type标识符的定义,,30312.4.5 require type-声明对type标识符的外部依赖31512.4.6 define te_ arab-TE规则的词法分析..31812.4.7 define role_ trans- role transition规则的词法分析32412.4.8 define conditional-if- else conditiona1的词法分析.2912.5 module的链接- semodule1ink.12.5.1链接过程核心数据结构关系图34012.5.2 symtab符号表的拷贝...,,,,,,34112.5.2.1 p types符号表的拷贝,,..34112.5.2.2所有其他标识符符号表的拷贝,,,,,,,,,,,,,,34412.5.2.3 p roles符号表的修正12.5.3 Scope符号表的拷贝34912.5.4链接过程的主要囪数调用链12.6 module的扩展- semodule_ expand37012.6.1 expand过程核心数据结构关系图..37012.6.2type的拷贝..37112.6.3 common的拷贝,,,37412.6.10 expand过程的核心函数调用链,.,,,37612.6.11展开规则的“字面”描诚- copy and expand avrule block囪数..38312.71ink和 expand过程的图解(new),,,,,,,,40012.7.1Role/ attribute标识符的1ink和 expand..…………40012.7.2 symtab的1ink和 expand,,,,,,403128规则中的m4宏定义(new)..,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,,40513. seLinux的应用41013. 1 Labeled Networking (half-baked),,,,,,,,,,,,,,,,,,,,,,,41013.1.1 IPsec简介,,,,,41013.1.2 seLinux对本地网络的控制( compat-net),,,,,,。,,,,,,,41613.1.3用 Labeled ipsec实现分布式网络控制..41713.1.4 Linux內核ⅹIM相关数据结构.41813.1.5和 IPsec相关的类,权限和援囗D41813.1.6LSM中和 Labeled ipsec相关的回调函数,41913.1.6.1检查一个f1ow(发送或接收)能否使用一个SPD条目41913.1.6,2给SPD/SAD分配安全属性.,,,42113.1.6.3释放SPD/SAD中的安全属性,,,,,,,,,,,,,,,.42413.1.6.5逐包检查一个 socket能够接收一个skb42413.1.6,4获取发送方的安全上下文字符串..,,4231.7 Labeled ipsec环境的搭建.13.1.8观察 Labeled ipsec的行为43013.1.9和 Labeled ipscc相关的 SeLinux规则,432参考文献434简化 selinux操作的bash配置方法本文档各个版本的说明437注第1至5章包含自己对《 SELinux By example》一书的学习心得;第6至9章包含自己实际经验的总结第10和11章为 selinux内核和用户态源代码分析总结第12章为 refpolicy的编译过程源代码情景分析;第13章打算收录些 SeLinux在内核或者用户态的应用,比如 Labeled Networking,XACl等。l, Refpolicy有300+个p的实现,了解核心pp的实现,必须首先了解应用程序的行为以及安全目标2,阅读 sELinux- aware应用程序源代码,看如何使用 libselinux库函数,学习 sELinux用户态编程3,了解 sELinux语法,标识符的二进制表示形式,内核态和用户态的数据结构;4,学习 policy module的 compile/ expansion/1ink过程5,按照类别,逐步掌握LSM回调囪数的调用时机,所在内核子系统的原理,以及 SELinux对LSM回调函数的实现(参考《 Implementing sElinux as a lsm module》一文)6,掌握 seLinux对各个内核子系统核心数据结构的扩展7,学习XAC规范,体会如何开发 Userspace Ob、 ject Manager;8,积极阅读 Joshua,Dan等人的b1og,向前奉们学与。9,积极关注 selinux邮件列表上的问答和讨论,丰富自己的视野希望能通过自己坚持不懈的努力,证得同满的 sELinκ知识和智慧。引子1,软件的缺陷不可避免(无论过去,现在,或将来);2,没有底层操作系统的支持就无法真正实现上层软件的安全性D. Baker,《 Fortresses Built Upon Sand》操作系统中访问控制模型的演化1.1访问控制模型的概念( Reference moni tor)subjectsAccessobjectsAlertYes or No?Feference validation MechanismRuleelampcrpra吋DBVerifiableRY M由上图可见,访问控制模型由如下四部分组成1, Subjects:访间的发起者,比如系统中的进程2, Objects:被访闩的对象,比如架作系统所管理的仼何资源丶数捃(包拈进程,任意类型文件,Tc尸端口,甚至单个网络报文。总而言之,任何内核数据结构都可能成为被访问的对象)3, Rules de:规则库,在用户态实现的访问策略,定义 Object的属性并规定哪些Sub、ect可以通过什么样的方式对它进行访问;4,RVM( Reference validation mechanism):在操作系统内实现的机制,是汸问控制策略的执行者,在访问操作过程中根据规则库判断当前操作是否合法;Hinx首先需要标识访问者和被访问的对象,由下文可知相关信息保存在进程的 task struct以及其他内核数据结构中 security指针所指向的数据结构中(注意这些数据结构都是运行时动态创建的,安全属性信息来源于文件在辅存上的扩展属性,以及规则库中的 Initia1S1定义等)。白用户态定义的访问规则库指定哪些访闩老能够以何种方弌访问哪些对象,而内核屮的SεLix机制则根据当前操作的访问者和被访问对象,查询规则库得到Yes/No结论。1.2DAC( Discretionary Access Contro1)的致命伤¨ discretionary”一词的含义为“ not contro1 led bv strict rules, but decided on by someonein a position of authority”,所以DAc的本质是由文件的属主定义其它用户对该文件的许可访问方式,其“ owner-group-wor ld”模型如下:S 1s -1 /usr/bin/passwdrwsr-xr-x I rootroot 37084 2009-04-04 13: 49/usr/bin/passwd系统中所有文件属主给各自文件所定义的“ owner-group-wor d”模型的总和,即为DAC下访问规则库的实现。DAC的开发环境(相对封闭的开发社区,或大学实验室)和对软件使用环境的假设(软件没有缺陷且运行环境友好)注定了DAC存在着天生缺陷:进程和文件的安全属性都基于(且总是基于)uid/euid和gid/egid,无论进程执行什么应用程序,其uid/euid都不改变(暂不考虑 setuid类程序),无法将进程所执行程序的行为和可靠性(安全性)标识到进程的安全属性中,导致操作系统无法有针对性地对进程施加访问控制比如,用户登录 shell进程会创建子进程以执行shel1的外部命令,子进程继承父进程的uid/gid,所以无法通过uid/gid来区分父子进程,即无法区分用户人为的操作和通过程序执行的操作。比如,无法限制 passwd程序只能被用户在命令行执行,而不能被属于该用户的其它进程执行。显然,“用户(登录hc11进程)是可信的”绝对不等于“用户执行的程序(后继fork的子进程)也是可信的”。登录sh1进程的行为由用户有意识地支配,而属于该用户的进程的行为则由其执行的实际程序决定。但是程序可能冇在安全漏洞,一巨被攻击植入恶意代码,黑客将具有该用户在系统上的所有权力(比如恶意删除用户的文件,盗取uid/gid所能读取的文件的内容,执行 passwd程序修改用户的密码)另外,用户进程可以执行各种应用程序,而这些程序自身的行为丶对系统安仝性的景响都不尽相同,比如网络类应用程序更容易受到外界病毒的攻击,相应地操作系统应该对此类应用施加更为严格的访冋控制。显然无法通过进程的uid/gid来描当前进程所执行的程序的安全性,因此操作系统也无法有针对性地实施访问控制。综上所逋,仪将uid/gid来作为进程和文件的安全属性是远远不够的最后,DAC的另一个缺点是对权力的管理和划分不够细致(只有两种情况:root或non-root),无法进步细分丶限制root用户的能力。一旦euid/ egid为0的进稈被攻破,将危害整个系统的安全1.3MAC( Mandatory access Contro1)的起源针对DAC的缺点,在ⅥAC中不再由访问对象的属主定义不同用户对其的许可访问方式,而是由匿定的规则库决定。MAC最初的研究由美国军方的MLS(u1ti- Leve1 Security)应用所推动,它将访问主体和被访问对象分成不同的安全级别,严格控制信息只能从低安全级别向高安全级别流动:低安全级别的丰体只能向高安全性的数捃对象中追加新的数据,并∏禁上读取;高安全级别的主体能够读取低安全级别的数据,并且禁止任何形式的写入(即“ no read up, no write down”)ⅥS只定位于数据保密性而并不关心数据完整性和最小权能原则( east, Privilege),以及对进程的能力进行分类。后来的FASK安全系统模型着眼于解决这些不足,而 SELinux则是FASK在 Linux内核中的实现1.4 Selinux的TE( Type Enforcement)模型SELinux作为MAC的一和实现,通过中央规则库( policy.x,二进制数据文件)给所有进程丶所有文件内核数据结构定义各自的安全标识(标签,1abel/type),明碓定义被访问对象所支持的访问方式,并规定进程标签对被访问对象的合法的访问方式。在配置 SELinux时给整个文件系统上的所有文件设置标签,在系统启动过程中init进程经由 selinux接口装载 policy.X到內核空间,由內核中的 SecuritvServer在处理用户态系统调用时实时査询(注,这里所说的“ Security server”,即为 sELinux内核驱动中定义的各种数据结构,比如 sistah, policy, AVC cache,以及在 services.c文件中定义的各种以“ security”开头的函数)
- 2020-12-04下载
- 积分：1
|
联系客服（QQ：3324461878）
