53.html

著名的linux英雄站点的文档打包

<br>
passwd -S fred<br>
fred P 03/04/96 0 60 0 0<br>
<br>
这表示 fred 的密码是有效的，它在 03/04/96 被修改且任何时间都可被修改， fred 将不会收到警告且帐号将不会因密码到期而关闭。<br>
<br>
这表示如果 fred 在密码到期後签入，它将被要求用一个新密码签入。<br>
<br>
<br>
如果我们决定要警告 fred 在密码过期前 14 天，且让它的帐号在到期後14天警告，我们需要作下列步骤：<br>
<br>
<br>
passwd -w14 -i14 fred<br>
<br>
现在 fred 改变为：<br>
fred P 03/04/96 0 60 14 14<br>
<br>
需要更多 passwd 资讯请参照线上操作手册。<br>
<br>
7.3 login.defs 档<br>
/etc/login 档是对 login 程式的 configuration file 且 对 Shadow Suite。<br>
<br>
/etc/login 包含从预设值密码改变的驱动设定。<br>
<br>
/etc/login.defs 档是一个很好的文件档，然而仍有些事情要注意：<br>
<br>
<br>
It contains flags that can be turned on or off that determine the amount of logging that takes place.<br>
It contains pointers to other configuration files.<br>
It contains defaults assignments for things like password aging.<br>
跟去上述你可以发现这是一个重要档，且你应该确认目前设定及你将对你系统的设定内容。<br>
<br>
<br>
7.4 群组密码<br>
/etc/groups 档包括允许是用者存取群组之密码。 如果你定义 SHADOWGRP 在 /usr/src/shadow-YYMMDD/config.h 档将开启该功能。<br>
<br>
如果你定义该常数且编译它，你需建立一个 /etc/gshadow 档来保存群组密码和群组管理者资讯。<br>
<br>
<br>
当你建立 /etc/shadow。你使用一个呼叫程式叫做 pwconv，该程式不会建立 /etc/gshadow 档，但是这没关系，只要你自行建立即可。<br>
<br>
<br>
为了建立起始 /etc/gshadow 档要执行下列步骤：<br>
<br>
touch /etc/gshadow<br>
chown root.root /etc/gshadow<br>
chmod 700 /etc/gshadow<br>
<br>
每次你建立一个新群组，它们会被加到 /etc/group 和 /etc/gshadow 档。如果你透过新增或移除使用者来修改群组或改变群组密码，/etc/gshadow 档都将被改变。<br>
<br>
<br>
groups, groupadd, groupmod, 和 groupdel 程式是用来供应 Shadow Suite 部分可以变更群组。<br>
<br>
/etc/group 档格式如下：<br>
<br>
groupname:!:GID:member,member,...<br>
<br>
其中：<br>
groupname<br>
The name of the group<br>
<br>
!<br>
The field that normally holds the password, but that is now relocated to the /etc/gshadow file. GID<br>
The numerical group ID number<br>
<br>
member<br>
List of group members<br>
<br>
/etc/gshadow 档格式如下：<br>
<br>
groupname:password:admin,admin,...:member,member,...<br>
<br>
其中：<br>
groupname<br>
The name of the group<br>
<br>
password<br>
The encoded group password.<br>
<br>
admin<br>
List of group administrators<br>
<br>
member<br>
List of group members<br>
<br>
gpasswd 指令是用在新增或移除管理者和群组成员。 root 或其他在群组管理者人员可新增或移除群组成员。<br>
<br>
群组密码可以透过 passwd 指令改变，需透过 root 或在该群组管理者有权限的帐号方可修改。<br>
<br>
Despite the fact that there is not currently a manual page for gpasswd, typing gpasswd without any parameters gives a listing of options. It's fairly easy to grasp how it all works once you understand the file formats and the concepts.<br>
<br>
7.5 检查程式一致性<br>
<br>
pwck<br>
pwck 程式提供在 /etc/passwd 和 /etc/shadow 档的一致性检查。它将检查每个使用者名称且依照下列步骤确认：<br>
<br>
<br>
the correct number of fields<br>
unique user name<br>
valid user and group identifier<br>
valid primary group<br>
valid home directory<br>
valid login shell 它也会警告没有密码的帐号。<br>
<br>
在安装 Shadow Suite 後执行 pwck 是一个很好的点子。它也可以每周或每月周期性的执行。 如果你使用 -r 参数，你可以用 cron 来执行且收到电子邮件报告<br>
<br>
<br>
grpck<br>
grpck 检查 /etc/group 和 /etc/gshadow 档一致性的程式。它作下列检查：<br>
<br>
the correct number of fields<br>
unique group name<br>
valid list of members and administrators<br>
它也有 -r 参数自动产生报表。<br>
<br>
7.6 Dial-up 密码<br>
Dial-up 密码是另一个对系统防御的选项列，该系统允许拨接存取。 如果你有一个系统允许许多人区域网路连结，但是你想限制拨接的权限，那你需使用 dial-up 密码。 为了要开启 dial-up 密码，你必须编辑 /etc/login.defs 档且确定将 DIALUPS_CHECK_ENAB 设定为 yes.<br>
<br>
有两个档案包括 dial-up 资讯， /etc/dialups 包括 ttys (one per line, with the leading "/dev/" removed)。如果 tty 有被列出， dial-up 表示已经被检查。<br>
<br>
第二个档是 /etc/d_passwd 。 这个档包括 shell 全部合法路径名称。<br>
<br>
如果以个使用者签入一条列在 /etc/dialups 的线(line)，且他的 shell 被列在 /etc/d_passwd 档，他将被允许存取透过提供正确的密码。<br>
<br>
另一个使用 dial-up 密码的目的是设定指允许某些形式连结的线(可能是PPP 或 UUCP 连结)。如果一个使用者试著得到另一种形式连结 (i.e. a list of shells)，他必须知道使用这条线的密码。 在你可以在未来使用 dial-up 前，你密需建立一些档案。<br>
<br>
dpasswd 指令提供对在 /etc/d_passwd 档的 shells 指派密码。可以看操作手册的到更多资讯。<br>
8. 加入 shadow 支援 C 语言<br>
<br>
新增支援 shadow 程式事实上是很直接的。 唯一的问题是程式需要以 root (或 SUID root) 权限执行，这样才可以存取 /etc/shadow 档。<br>
<br>
这显示一个大问题： 当建立 SUID 程式时需要很小心依照程式运作。举例说明： 如果以个程式有 shell escape，如果程式本身是 SUID root 将不需要以 root 方式呈现。<br>
<br>
对程式新增支援 shadow 而言，它可以检查密码，但不需以 root 权限执行，而是以 SUID shadow 取代执行比较安全。 xlock 程式就是一个例子。<br>
<br>
接下来□例介绍， pppd-1.2.1d 已经以 SUID as root 方式执行，所以新增 shadow 支援应该不会使程式产生任何影响。<br>
<br>
8.1 标头档(Header files)<br>
标头档应存在 /usr/include/shadow。 应该有一个 /usr/include/shadow.h档，但是它将 symbolic link 到 /usr/include/shadow/shadow.h。<br>
<br>
为了新增支援 shadow 程式，你需要 include 标头档：<br>
<br>
<br>
#include<br>
#include<br>
<br>
8.2 libshadow.a 函式库(library)<br>
当你安装 Shadow Suite， libshadow.a 档被建立和安装在 /usr/lib 目录。<br>
<br>
当编译一个 shadow support 程式，linker 需要包括 libshadow.a 函式库进入链结。<br>
<br>
<br>
执行如下：<br>
<br>
gcc program.c -o program -lshadow<br>
<br>
然而，就像我们接下来要看的例子，大部分大程式使用 Makefile 且通常有变数呼叫 LIBS=... 需要被修改。<br>
<br>
<br>
8.3 Shadow 结构(Structure)<br>
libshadow.a 函式库对它从 /etc/shadow 档接收资讯使用结构化呼叫。这是从 /usr/include/shadow/shadow.h 标头档的 spwd 结构定义：<br>
<br>
struct spwd<br>
{<br>
char *sp_namp; /* login name */<br>
char *sp_pwdp; /* encrypted password */<br>
sptime sp_lstchg; /* date of last change */<br>
sptime sp_min; /* minimum number of days between changes */<br>
sptime sp_max; /* maximum number of days between changes */<br>
sptime sp_warn; /* number of days of warning before password<br>
expires */<br>
sptime sp_inact; /* number of days after password expires<br>
until the account becomes unusable. */<br>
sptime sp_expire; /* days since 1/1/70 until account expires<br>
*/<br>
unsigned long sp_flag; /* reserved for future use */<br>
};<br>
<br>
Shadow Suite 可以放除了编码密码之外的资料到 sp_pwdp 栏位。密码栏位可包括：<br>
<br>
username:Npge08pfz4wuk;@/sbin/extra:9479:0:10000::::<br>
<br>
这表示一个额外的密码， /sbin/extra 程式应该被更多的权限呼叫。 程式的呼叫需取得使用者名称和指出为何需被呼叫的 switch才可通过。 查看 /usr/include/shadow/pwauth.h 和原始码 pwauth.c 获得更多资讯。<br>
<br>
为何我们应使用 pwauth 去表示真正的权限，这是什麽意思，它将使第二组权限也跑得很好。<br>
<br>
Shadow Suite 作者指出因为大部分存在的程式都不这麽作罗，所以 Shadow Suite未来的版本将移除。<br>
<br>
<br>
8.4 Shadow 函式(Functions)<br>
shadow.h 包含 libshadow.a 函式库：<br>
<br>
extern void setspent __P ((void));<br>
extern void endspent __P ((void));<br>
extern struct spwd *sgetspent __P ((__const char *__string));<br>
extern struct spwd *fgetspent __P ((FILE *__fp));<br>
extern struct spwd *getspent __P ((void));<br>
extern struct spwd *getspnam __P ((__const char *__name));<br>
extern int putspent __P ((__const struct spwd *__sp, FILE *__fp));<br>
<br>
我们将使用的□例程式是： getspnam 将对供应名称恢复对我们 spwd 结构。<br>
<br>
<br>
8.5 □例<br>
这是一个□例描述新增 shadow 支援程式，但预设值并没有。<br>
<br>
<br>
本□例使用 Point-to-Point Protocol Server (pppd-1.2.1d)，它有个模式是表示 从 /etc/passwd 档取代 PAP 或 CHAP 档使用帐号密码的 PAP 权限，你将不需要在 pppd-2.2.0 加这些程式码，因为它已经存在罗。<br>
<br>
pppd 的未来大致上不会被使用很多，但是如果你安装 Shadow Suite，储存在 /etc/passwd 档的密码将无法运作。<br>
<br>
在 pppd-1.2.1d 权限使用的程式码是位在 /usr/src/pppd-1.2.1d/pppd/auth.c 档。<br>
<br>
接下来程式码需要被加在所有其他 #include 指令档案的最上头，我们将注意有环境指令的 #includes。<br>
<br>
#ifdef HAS_SHADOW<br>
#include<br>
#include<br>
#endif<br>
<br>
接下来要做的事情是变更实际码， 我们将变更 auth.c 档。<br>
<br>
变更前 auth.c 档 function 为：<br>
<br>
/*<br>
* login - Check the user name and password against the system<br>
* password database, and login the user if OK.<br>
*<br>
* returns:<br>
* UPAP_AUTHNAK: Login failed.<br>
* UPAP_AUTHACK: Login succeeded.<br>
* In either case, msg points to an appropriate message.<br>
*/<br>
static int<br>
login(user, passwd, msg, msglen)<br>
char *user;<br>
char *passwd;<br>
char **msg;<br>
int *msglen;<br>
{<br>
struct passwd *pw;<br>
char *epasswd;<br>
char *tty;<br>
<br>
if ((pw = getpwnam(user)) == NULL) {<br>
return (UPAP_AUTHNAK);<br>
}<br>
/*<br>
* XXX If no passwd, let them login without one.<br>
*/<br>
if (pw-&gt;pw_passwd == '</FONT><br>
                                      </TD>
                                    </TR>
                                <TR>
                                <TD colSpan=2><FONT 
                                class=middlefont></FONT><BR>
                                        <FONT 
                                class=normalfont>全文结束</FONT> </TD>
                                    </TR>
                                <TR>
                                <TD background="images/dot.gif" tppabs="http://www.linuxhero.com/docs/images/dot.gif" colSpan=2 
                                height=10></TD></TR></TBODY></TABLE></TD></TR></TBODY></TABLE></DIV></TD>
                        <TD vAlign=top width="20%" 
                      background="images/line.gif" tppabs="http://www.linuxhero.com/docs/images/line.gif" rowSpan=2> 
                          <DIV align=center> 
                            <table class=tableoutline cellspacing=1 cellpadding=4 
                        width="100%" align=center border=0>
                              <tr class=firstalt> 
                                <td noWrap background="images/bgline.gif" tppabs="http://www.linuxhero.com/docs/images/bgline.gif" colspan=2 height=21>
                                <font class=normalfont><b>所有分类</b></font></td>
                              </tr>
<tr class=secondalt> <td noWrap width=27%> <font class=normalfont>1:</font> </td><td noWrap width=73%>   <table width=100% border=0>    <tr>       <td><font class=normalfont><a href="type1.html" tppabs="http://www.linuxhero.com/docs/type1.html">非技术类</a></font></td>    </tr>  </table></td></tr><tr class=firstalt> <td noWrap width=27%> <font class=normalfont>2:</font> </td><td noWrap width=73%>   <table width=100% border=0>    <tr>       <td><font class=normalfont><a href="type2.html" tppabs="http://www.linuxhero.com/docs/type2.html">基础知识</a></font></td>    </tr>  </table></td></tr><tr class=secondalt> <td noWrap width=27%> <font class=normalfont>3:</font> </td><td noWrap width=73%>   <table