2019/03/13 -PAM模块安全

最新推荐文章于 2024-08-12 20:25:49 发布
最新推荐文章于 2024-08-12 20:25:49 发布
阅读量123 收藏 1
点赞数
分类专栏： SUDO权限管理与TCPWRAPPER和PAM
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_42227818/article/details/88537386
版权
本文深入解析PAM（Pluggable Authentication Modules）的概念及其在身份验证中的应用。PAM作为统一的认证框架，允许应用程序调用统一的API进行认证，简化了开发流程并增强了系统的安全性。文章还介绍了PAM的四种模块类型：auth、account、password和session，并探讨了它们如何在不同的场景下工作。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

在这里插入图片描述
PAM 可插入的验证模块 Pluggable可插拔的 Authentication 身份验证 Modules模块
ssh telnet sftp 都需要经过验证，早期是各自的服务经过自己的验证，这个验证模块只能在ssh服务中使用，其他的不能使用
API应用程序访问接口，当应用程序需要这个功能就针对这个API开发
各自软件的开发者就关注自己的服务，也不用花大量时间验证了，
pam本身不提供服务，认证功能的开发是针对pam架构开发的
在这里插入图片描述
在这里插入图片描述
SPI开发认证模块的时候调用的接口（相当于卖家）
API表示应用程序要使用认证的接口（相当于买家）
PAM相当于中间平台
在这里插入图片描述
系统管理员就负责配置文件就可以了
在这里插入图片描述
在这里插入图片描述
这些文件具体实现了服务模块在这里插入图片描述
只有上班时间链接ssh服务，下班不让链接，就可以设置pam_time模块
在这里插入图片描述
在这里插入图片描述
不是所有模块都有配置文件，有些模块比较简单就没有配置文件
在这里插入图片描述每个应用程序要调用模块，怎么去调用，有一个配置文件，但是一般都每个模块提供一个配置文件就跟/etc/sudoers.d/alice…一样，不然放在一个容易混乱
在这里插入图片描述
定义了一些调用应用程序的规则，这些规则定义了怎么去调用服务模块在这里插入图片描述
在这里插入图片描述
一个用户sshd访问的时候，/usr/sbin/sshd就回去看/etc/pam.d的配置文件sshd，根据文件里面定义的内容，来决定使用什么模块
有PAM官方文档
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
passwd对应的配置文件
在这里插入图片描述
里面定义的规则
在这里插入图片描述
调用的模块
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
一般用这个配置文件，目录下面可以针对单个服务创建配置文件
在这里插入图片描述
模块type四种类型
在这里插入图片描述
auth负责账号的验证
account验证账号是否合法（张三用户规定什么时候访问，但是不在这个时间段访问就是不合法，也可以控制终端
passswd负责检查账号密码复杂性
session会话，做一些额外的操作
-号代表有没有也无所谓
在这里插入图片描述
account验证账号有效性
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
有三个auth就等于有三轮面试
在这里插入图片描述
哪路面试一票否决，那轮面试一票肯定，就要看required字，如果是required，就是一票否决
这一轮如果失败就是一票否决
在这里插入图片描述
在这里插入图片描述
required否决了还会继续后面的type类型检查，requisite一票否决并且后面的type类型检查也不做了
在这里插入图片描述
在这里插入图片描述
直接成功，后续的type类型不查了
在这里插入图片描述
在这里插入图片描述
起到陪衬作用，仅做参考
在这里插入图片描述
调用其他的模块

在这里插入图片描述
在这里插入图片描述
复杂情况，在什么样的状态下就采取什么样的行为
done=一票通过制
bad一票否决
一般都是用简单语法
在这里插入图片描述
写完立即生效类似hosts.allow，也可能导致配置错了，全部连接不了，建议开一个终端不要断
在这里插入图片描述
模块的文档
在这里插入图片描述
在这里插入图片描述
下载文档看在这里插入图片描述
在这里插入图片描述
过滤一下系统中是否有程序调用这个模块
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
加上这个模块就必须用户登录用的shell类型必须是/etc/shell里面的
在这里插入图片描述
如果su用这个模块就代表必须要/etc/shell这个文件里面必须有的shell才能登录
在这里插入图片描述
修改tom用户shell类型为csh
在这里插入图片描述
再把/etc/shell里的csh删除
在这里插入图片描述
shell类型不存在所以无法登录了
在这里插入图片描述
改回去就能登录了
在这里插入图片描述
把bash删除
在这里插入图片描述
root有一票肯定就不受影响在这里插入图片描述
在这里插入图片描述
修改shel，就又可以登录了

在这里插入图片描述
登录成功
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
**
sudo
visudo
lastb失败登录信息
aide aide软件包提供的工具
tcpdmatch 自制工具 测试hosts.allow策略的**
ssh配置，端口转发，两个选项比较重要 L D
ssh服务的各种配置文件格式，选项，比如限制用户登录的超限时长，最大并发链接数多少
ssh之后又dropbear编译安装
aide 检查数据完整性是否修改
sudo 授权用户登录
tcp_wrapper hosts.allow hosts.deny
PAM

PAM安全认证
frostleaf_的博客
08-26 1558
1、PAM概念 Linux-PAM，是linux可插拔认证模块，是一套可定制、 可动态加载的共享库，使本地系统管理员可以随意选择程序的认证方式。 2、配置文件位置 PAM使/etc/pam.d/下的配置文件，来管理对程序的认证方式 本地的认证模块，模块放置在/lib64/security下，以加载动态库的形式进行认证 3、PAM认证原理 PAM认证一般遵循的顺序: Service (服务) --> PAM (配置文件) --> pam_ *.so; PAM认证首先要确定哪一项应用服务
linux /etc/shadow--passwd/pam.d/system-auth文件详解
weixin_34291004的博客
03-21 2421
 在linux操作系统中， /etc/passwd文件中的每个用户都有一个对应的记录行,记录着这个用户的一下基本属性。该文件对所有用户可读。   而/etc/shadow文件正如他的名字一样，他是passwd文件的一个影子，/etc/shadow文件中的记录行与/etc/passwd中的一一对应，它由pwconv命令根据/etc/passwd中的数据自动产生。但是/etc/shadow文件只有系...
安全-PAM
无约而来
12-17 633
PAMPAM常用的pam模块：1. pam_rootok.so2. pam_wheel.so ***3. pam_tally2.so4. pam_limits.so用户的访问路径： 匿名用户 /var/ftp 普通用户 家目录 PAM 模块的路径： [root@pam /lib64/security]# ls 配置文件的路径： [root@pam /etc/pam.d]# ls 了解模块的...
系统安全——PAM模块
weixin_34007886的博客
07-09 609
本文为在前辈的文章基础之上学习总的PAM认证机制。 Linux提供的安全机制主要有:身份标识与鉴别、文件访问控制、特权管理、安全审计、IPC资源的访问控制。本文为身份标识与鉴别其中的部分。 0x01：PAM简介 PAM 的全称为“可插拔认证模块（Pluggable Authentication Modules）”。设计的初衷是将不同的底层认证机制集中到一个高层次的API中，从而省去开发人员自己...
PAM安全配置
weixin_34413802的博客
03-20 582
###LinuxCBT PAM Edition - Notes### Topology: Features:1. PAM is a central, modular authentication frameworka. Obviates the need for separate authentication schemes. i.e. per application ...
PAM | 账户安全 | 管理
梓芮
02-18 1804
PAM（Pluggable Authentication Modules，可插入式身份验证模块）是一个灵活的身份验证系统，允许我们通过配置和组合各种模块来实现不同的身份验证策略。以上只是一些常见的 PAM 模块，实际还有许多其他模块可用于不同的身份验证需求。限制账号安全的配置涉及很多步骤，包括密码策略、访问控制、身份验证、日志和监控等。Linux系统的账户安全是保护系统免受未授权访问和潜在威胁的关键方面。
libpam-pgsql:项目移至github：https://github.com/pam-pgsql/pam-pgsql-开源
05-08
而libpam-pgsql是PAM的一个模块，它扩展了PAM的功能，使其能够利用PostgreSQL数据库进行用户身份验证。 PostgreSQL，又称为Postgres，是一款强大的开源关系型数据库管理系统。它以其高度的可扩展性、稳定性以及丰富...
Linux-PAM-1.3.0.tar.gz_PAM_linux_pam 1.3.1
09-23
3. **配置**：编辑/etc/pam.d/下的配置文件，将PAM模块添加到相应服务的配置中。 4. **测试**：确保修改后的配置无误，可以通过测试工具或实际服务进行验证。 PAM的灵活性和可扩展性使其成为Linux系统安全的重要...
pam.tar.gz_linux pam _linux-pam
09-24
例如，`login`服务的配置文件可能包含多个行，每行代表一个PAM模块的调用，如`auth required pam_unix.so`表示需要通过UNIX密码进行认证。 **3. PAM模块类型** PAM模块分为四种类型：`auth`、`account`、`session`...
一种基于Linux-PAM模块的身份验证方法.pdf
09-06
Linux-PAM（可插拔身份验证模块）是Linux操作系统中的一种身份验证机制，它允许管理员和开发者灵活地管理和配置不同的身份验证策略。PAM的主要目的是解决传统Linux系统中验证功能与应用程序紧密耦合的问题，使得身份...
Linux系统安全及应用（二）：PAM安全认证
最新发布
shyuu的博客
08-12 1340
Linux系统安全及应用（二），详解PAM安全认证
系统权限和PAM安全认证
LX199707的博客
05-17 806
一，su 和sudo 用法 1.两种方式：  以『 su - 』直接将身份变成 root 即可，但是这个指令却需要 root 的密码，也就是说，如果你要以 su 变成 root 的话，你的一般使用者就必须要有 root 的密码才行；  以『 sudo 指令 』执行 root 的指令串，由于 sudo 需要事先设定妥当，且 sudo 需要输入用户自己的密码， 因此多人共管同一部主机时， sudo 要比 su 来的好喔！至少 root 密码不会流出去！ 2，su 命令 [root@study ~]# su
Linux系统安全设置，pam安全认证的原理与John the Ripper 弱口令扫描实验
weixin_48192495的博客
08-09 744
目录一.账号安全控制1.1 系统账号清理1.2 密码安全控制1.3 命令历史自动注销1.4 闲时超时设置1.5 用户切换与提权1.5 PAM安全认证二. 系统引导和登录控制2.1 开机安全控制2.2 终端登录安全控制三. 网络端口扫描3.1 nmap 语法：3.2 需要先安装nmap软件包3.3 扫描端口的用法四. 弱口令检测4.1 通过使用John the RIpper,可以检测Linux系统用户的密码强度 一.账号安全控制 1.1 系统账号清理 将非登录用户的shell 设为/sbin/nologi
PAM安全配置-用户密码锁定策略
wangluoanquan111的博客
04-10 1610
PAM是一个用于实现身份验证的模块化系统，可以在操作系统中的不同服务和应用程序中使用。
Linux系统安全与应用（一）——账号安全与控制与PAM认证模块
想成功，靠自己
02-02 1797
系统安全与应用（一）一、账号安全控制1、系统账号清理2、密码安全控制①、设置密码有效期②、要求用户下次登陆时更改密码3、命令历史限制4、终端自动注销5、切换用户：su①、用途及用法②、密码验证③、限制使用su命令切换用户二、Linux中的PAM安全认证1、su命令的安全隐患2、PAM可插拔式认证模块3、PAM认证原理4、每一列的名称解释5、控制标记的补充说明6、PAM安全认证流程 一、账号安全控制 1、系统账号清理 将非登录用户的shell设为不可登陆 us
安全之PAM认证
tangshiweibbs的专栏
05-02 3503
PAM 身份认证 资源限制 （Cgroup为更高级的资源限制手段） =================================================================================    PAM(Pluggable Authentication Modules)即可插拔式认证模块，它是一种高效而且灵活的用户级别的认证方式，它也
Linux PAM安全认证模块 移植
weixin_42218802的博客
09-08 2983
    PAM为Linux的安全认证模块，其详细介绍、工作原理及认证方法可参考网址：https://blog.youkuaiyun.com/yuanlaijike/article/details/78726606， 本文主要介绍PAM的移植以及移植以后的环境配置。本次移植的硬件环境为ARM -a8平台，编译器为armv7-linux-gcc ，PAM源码下载地址为：https://github.com/lin...
cat /etc/pam.d/system-auth cat /etc/pam.d/sshd cat /etc/profile cat /etc/passwd 查看密码 cat /etc/shadow cat /etc/group cat /etc/hosts.equiv cat /etc/hosts.rhosts ps aux |grep telnet ps aux |grep rlogin ps aux |grep ftp cat /etc/group cat /etc/ssh/sshd_config umask ls -l /etc/passwd ls -l /etc/group ls -l /etc/shadow ls -l /etc/xinetd.conf ls -l /etc/sudoers ls -l /etc/httpd.conf ls -l /etc/httpd-mpm.conf ls -l /etc/conf/tomcat-users.xml ls -l /etc/conf/web.xml ls -l /etc/conf/server.xml ls -l /etc/my.cnf ls -l /var/mysqllog/logbin.log ps aux | grep syslogd ps aux | grep rsyslogd service syslog status service rsyslog status ps aux | grep audit service auditd status ps aux |grep ssh ls -l /var/log/messages ls -l /var/log/secure ls -l /var/log/audit/audit.log tail -20 /var/log/messages tail -20 /var/log/audit/audit.log tail -n 20 /var/log/messages tail -n 20 /var/log/audit/audit.log cat /etc/logrotate.conf cat /etc/rsyslog.conf auditctl -s auditctl -l lsof -i:21 lsof -i:22 lsof -i:23 这些命令的意思
07-21
这些命令用于查看和检查系统的配置和日志文件。以下是每个命令的简要说明： 1. `cat /etc/pam.d/system-auth`: 显示 `/etc/pam.d/system-auth` 文件的内容，该文件用于管理系统级身份验证和授权。 2. `cat /etc/pam.d/sshd`: 显示 `/etc/pam.d/sshd` 文件的内容，该文件用于管理 SSH 服务的身份验证和授权。 3. `cat /etc/profile`: 显示 `/etc/profile` 文件的内容，该文件是一个全局配置文件，用于设置用户环境变量和执行系统级别的脚本。 4. `cat /etc/passwd`: 显示 `/etc/passwd` 文件的内容，该文件包含了系统中所有用户的基本信息，但不包含密码。 5. `cat /etc/shadow`: 显示 `/etc/shadow` 文件的内容，该文件包含了系统中用户的加密密码。 6. `cat /etc/group`: 显示 `/etc/group` 文件的内容，该文件包含了系统中用户组的信息。 7. `cat /etc/hosts.equiv`: 显示 `/etc/hosts.equiv` 文件的内容，该文件用于定义可信任主机列表，允许这些主机使用 rsh 或 rlogin 进行远程登录。 8. `cat /etc/hosts.rhosts`: 显示 `/etc/hosts.rhosts` 文件的内容，该文件用于定义远程主机和用户之间的信任关系。 9. `ps aux | grep telnet`: 列出所有正在运行的进程，并过滤出包含 "telnet" 关键字的进程。 10. `ps aux | grep rlogin`: 列出所有正在运行的进程，并过滤出包含 "rlogin" 关键字的进程。 11. `ps aux | grep ftp`: 列出所有正在运行的进程，并过滤出包含 "ftp" 关键字的进程。 12. `cat /etc/ssh/sshd_config`: 显示 `/etc/ssh/sshd_config` 文件的内容，该文件包含了 SSH 服务器的配置选项。 13. `umask`: 显示当前用户的默认文件权限掩码。 14. `ls -l /etc/passwd`: 显示 `/etc/passwd` 文件的详细信息，包括权限、所有者和修改时间等。 15. `ls -l /etc/group`: 显示 `/etc/group` 文件的详细信息，包括权限、所有者和修改时间等。 16. `ls -l /etc/shadow`: 显示 `/etc/shadow` 文件的详细信息，包括权限、所有者和修改时间等。 17. `ls -l /etc/xinetd.conf`: 显示 `/etc/xinetd.conf` 文件的详细信息，该文件是 xinetd 服务的配置文件。 18. `ls -l /etc/sudoers`: 显示 `/etc/sudoers` 文件的详细信息，该文件用于配置 sudo 命令的权限。 19. `ls -l /etc/httpd.conf`: 显示 `/etc/httpd.conf` 或 `/etc/apache2/apache2.conf` 文件的详细信息，这些文件是 Apache HTTP 服务器的配置文件。 20. `ls -l /etc/httpd-mpm.conf`: 显示 `/etc/httpd-mpm.conf` 文件的详细信息，该文件定义了 Apache MPM（多处理模块）的配置选项。 21. `ls -l /etc/conf/tomcat-users.xml`: 显示 `/etc/conf/tomcat-users.xml` 文件的详细信息，该文件包含了 Tomcat 服务器的用户配置。 22. `ls -l /etc/conf/web.xml`: 显示 `/etc/conf/web.xml` 文件的详细信息，该文件是 Java Web 应用程序的配置文件。 23. `ls -l /etc/conf/server.xml`: 显示 `/etc/conf/server.xml` 文件的详细信息，该文件是 Tomcat 服务器的主配置文件。 24. `ls -l /etc/my.cnf`: 显示 `/etc/my.cnf` 或 `/etc/mysql/my.cnf` 文件的详细信息，这些文件是 MySQL 数据库服务器的配置文件。 25. `ls -l /var/mysqllog/logbin.log`: 显示 `/var/mysqllog/logbin.log` 文件的详细信息，该文件是 MySQL 数据库二进制日志的位置。 26. `ps aux | grep syslogd`: 列出所有正在运行的进程，并过滤出包含 "syslogd" 关键字的进程。 27. `ps aux | grep rsyslogd`: 列出所有正在运行的进程，并过滤出包含 "rsyslogd" 关键字的进程。 28. `service syslog status`: 显示 syslog 服务的状态。 29. `service rsyslog status`: 显示 rsyslog 服务的状态。 30. `ps aux | grep audit`: 列出所有正在运行的进程，并过滤出包含 "audit" 关键字的进程。 31. `service auditd status`: 显示 auditd 服务的状态。 32. `ps aux | grep ssh`: 列出所有正在运行的进程，并过滤出包含 "ssh" 关键字的进程。 33. `ls -l /var/log/messages`: 显示 `/var/log/messages` 文件的详细信息，该文件包含了系统的一般日志消息。 34. `ls -l /var/log/secure`: 显示 `/var/log/secure` 文件的详细信息，该文件包含了安全相关的日志消息。 35. `ls -l /var/log/audit/audit.log`: 显示 `/var/log/audit/audit.log` 文件的详细信息，该文件包含了审计日志。 36. `tail -20 /var/log/messages`: 显示 `/var/log/messages` 文件的尾部 20 行内容。 37. `tail -20 /var/log/audit/audit.log`: 显示 `/var/log/audit/audit.log` 文件的尾部 20 行内容。 38. `tail -n 20 /var/log/messages`: 显示 `/var/log/messages` 文件的尾部 20 行内容。 39. `tail -n 20 /var/log/audit/audit.log`: 显示 `/var/log/audit/audit.log` 文件的尾部 20 行内容。 40. `cat /etc/logrotate.conf`: 显示 `/etc/logrotate.conf` 文件的内容，该文件用于配置日志文件的轮转。 41. `cat /etc/rsyslog.conf`: 显示 `/etc/rsyslog.conf` 文件的内容，该文件是 rsyslog 服务的配置文件。 42. `auditctl -s`: 显示当前系统上启用的审计规则。 43. `auditctl -l`: 列出当前系统上的所有审计规则。 44. `lsof -i:21`: 列出所有正在使用端口 21（FTP）的进程和文件。 45. `lsof -i:22`: 列出所有正在使用端口 22（SSH）的进程和文件。 46. `lsof -i:23`: 列出所有正在使用端口 23（Telnet）的进程和文件。 请注意，某些命令可能需要管理员权限才能运行，且需要小心处理敏感信息。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值