开源项目 pamspy 常见问题解决方案

开源项目 pamspy 常见问题解决方案

pamspy Credentials Dumper for Linux using eBPF 项目地址: https://gitcode.com/gh_mirrors/pa/pamspy

1. 项目基础介绍和主要编程语言

项目名称：pamspy

项目简介：pamspy 是一个利用 eBPF（extended Berkeley Packet Filter）技术来监视和记录 PAM（Pluggable Authentication Modules）模块中的凭据信息的项目。它可以追踪特定用户空间函数在 PAM 库中的行为，用于捕获应用程序（如 sudo、sshd、passwd、gnome、x11 等）的认证信息。

主要编程语言：C

2. 新手使用项目时需特别注意的3个问题及解决步骤

问题1：如何正确安装 pamspy？

问题描述：新手可能会遇到不知道如何正确安装 pamspy 的问题。

解决步骤：

1. 首先，确保你的系统中安装了必要的依赖，包括 clang（用于编译 C 代码为 eBPF CO-RE 代码）、bpftool（用于创建 eBPF 程序的骨架）、libelf-dev（用于在 libpam 中找到正确的符号）。
2. 使用以下命令安装依赖：

   sudo apt install make clang-11 gcc libelf-dev bpftool
   

3. 克隆项目仓库并构建静态二进制文件：

   git clone https://github.com/citronneur/pamspy.git
   cd pamspy
   make
   

问题2：如何找到 libpam 的路径？

问题描述：运行 pamspy 时需要指定 libpam 的路径，新手可能不知道如何获取这个路径。

解决步骤：

1. 使用以下命令查找 libpam 的路径：

   /usr/sbin/ldconfig -p | grep libpam_so | cut -d ' ' -f4
   

2. 将命令输出的路径作为 pamspy 的参数。

问题3：如何以守护进程模式运行 pamspy 并输出凭据到文件？

问题描述：新手可能不清楚如何以守护进程模式启动 pamspy 并将凭据输出到指定文件。

解决步骤：

1. 找到 libpam 的路径后，使用以下命令启动 pamspy，并以守护进程模式输出凭据到指定文件：

   ./pamspy -p /lib/x86_64-linux-gnu/libpam_so.0 -d /path/to/output/file
   

2. 替换 /path/to/output/file 为实际想要输出的文件路径。

以上步骤可以帮助新手在使用 pamspy 项目时避免一些常见问题，并顺利运行项目。

pamspy Credentials Dumper for Linux using eBPF 项目地址: https://gitcode.com/gh_mirrors/pa/pamspy