PHPネタと2ちゃんねるネタが立て続けに出てきたので、宣伝をば。(笑) TOMOYO Linux ではプログラムのパス名1個、ファイルのパス名1個を単位として読み書き実行の可否を制限することができます。そのため、例えば /bin/cat の実行だけを許可したい場合に /bin/cat の実行だけを許可することができます。 SELinux では bin_t などのラベル単位でグループ化してしまうため、 /bin/cat の実行だけを許可するという設定は(ポリシーを0から作成する覚悟とスキルが無ければ)実現できません。 ファイルについても同様で、例えば /bin/grep コマンドに対して /var/data/ 以下のファイルは許可するけれども /etc/passwd は許可しないといった設定が可能です。 さらに、 TOMOYO Linux には execute handler という機能が搭
![TOMOYO Linux によるOSコマンドインジェクション対策](https://cdn-ak-scissors.b.st-hatena.com/image/square/1c809eba3c2cd24cf92976a583c2d40a2c205995/height=288;version=1;width=512/http%3A%2F%2Fblog.sakura.ne.jp%2Fimg%2Fogp_logo.png)