79、守护账户安全：策略与实践

守护账户安全：策略与实践

1. 使用密码破解工具的风险与授权

在系统中运行密码破解工具前，务必确保获得了相关授权，最好能取得书面许可。因为运行密码破解工具可能会让人误以为你试图入侵特定计算机，若无法证明自己得到了授权，可能会面临不愉快的行政处理，甚至被以计算机犯罪起诉。例如1993年，知名Perl书籍作者Randal Schwartz在担任英特尔部门系统管理员和顾问期间，因在其中一个部门的密码文件上运行Crack程序，在俄勒冈州被判定三项重罪。2001年，俄勒冈最高法院维持了该判决，Randal被处以5年缓刑、480小时社区服务（后减至240小时）、90天延期监禁（后暂停执行）以及向英特尔支付6.8万美元赔偿。

2. 简易密码破解程序示例

为了理解密码破解程序的工作原理，下面介绍一个简单的程序，用于扫描用户名和密码相同的账户（这类账户被称为“Joes”）。如果系统中安装了影子密码文件，该程序必须以root权限运行。

以下是C语言版本的代码：

/*
 * joetest.c:
 *
 * Scan for "joe" accounts -- accounts with the same username
 * and password.
 */
#include <stdio.h>
#include <pwd.h>
int   main(int argc,char **argv)
{
    struct     passwd *pw;
    while(pw=getpwent() ){
        char     *crypt();
        ch