Linux Shadow-Password-HOWTO - 8. 加入 shadow 支援

核心提示：新增支援 shadow 程式事实上是很直接的， 唯一的问题是程式需要以 root (或 SUID root) 权限执行，Linux Shadow-Password-HOWTO - 8. 加入 shadow 支援，这样才可以存取 /etc/shadow 档， 这显示一个大问题： 当建立 SUID 程式时需要很小心依照程

新增支援 shadow 程式事实上是很直接的。 唯一的问题是程式需要以 root (或 SUID root) 权限执行，这样才可以存取 /etc/shadow 档。  这显示一个大问题： 当建立 SUID 程式时需要很小心依照程式运作。举例说明： 如果以个程式有 shell escape，如果程式本身是 SUID root 将不需要以 root 方式呈现。  对程式新增支援 shadow 而言，它可以检查密码，但不需以 root 权限执行，而是以 SUID shadow 取代执行比较安全。 xlock 程式就是一个例子。  接下来□例介绍， pppd-1.2.1d 已经以 SUID as root 方式执行，所以新增 shadow 支援应该不会使程式产生任何影响。  8.1 标头档(Header files)  标头档应存在 /usr/include/shadow。 应该有一个 /usr/include/shadow.h档，但是它将 symbolic link 到 /usr/include/shadow/shadow.h。  为了新增支援 shadow 程式，你需要 include 标头档：  #include  #include  8.2 libshadow.a 函式库(library)  当你安装 Shadow Suite， libshadow.a 档被建立和安装在 /usr/lib 目录。  当编译一个 shadow support 程式，linker 需要包括 libshadow.a 函式库进入链结。  执行如下：  gcc PRogram.c -o program -lshadow 然而，就像我们接下来要看的例子，大部分大程式使用 Makefile 且通常有变数呼叫 LIBS=... 需要被修改。  8.3 Shadow 结构(Structure)  libshadow.a 函式库对它从 /etc/shadow 档接收资讯使用结构化呼叫。这是从 /usr/include/shadow/shadow.h 标头档的 spwd 结构定义：  -------------------------------------------------------------------------------- struct spwd { 　char *sp_namp;　　　　　　　　/* login name */ 　char *sp_pwdp;　　　　　　　　/* encrypted passWord */ 　sptime sp_lstchg;　　　　　　 /* date of last change */ 　sptime sp_min;　　　　　　　　/* minimum number of days between changes */ 　sptime sp_max;　　　　　　　　/* maximum number of days between changes */ 　sptime sp_warn;　　　　　　　 /* number of days of warning before password 　　　　　　　　　　　　　　　　　 expires */ 　sptime sp_inact;　　　　　　　/* number of days after password expires 　　　　　　　　　　　　　　　　　 until the account becomes unusable. */ 　sptime sp_expire;　　　　　　 /* days since 1/1/70 until account expires */ 　unsigned long sp_flag;　　　　/* reserved for future use */ }; -------------------------------------------------------------------------------- Shadow Suite 可以放除了编码密码之外的资料到 sp_pwdp 栏位。密码栏位可包括：  username:Npge08pfz4wuk;@/sbin/extra:9479:0:10000:::: 这表示一个额外的密码， /sbin/extra 程式应该被更多的权限呼叫。 程式的呼叫需取得使用者名称和指出为何需被呼叫的 switch才可通过。 查看 /usr/include/shadow/pwauth.h 和原始码 pwauth.c 获得更多资讯。  为何我们应使用 pwauth 去表示真正的权限，这是什麽意思，它将使第二组权限也跑得很好。  Shadow Suite 作者指出因为大部分存在的程式都不这麽作罗，所以 Shadow Suite未来的版本将移除。  8.4 Shadow 函式(Functions)  shadow.h 包含 libshadow.a 函式库：  -------------------------------------------------------------------------------- extern void setspent __P ((void)); extern void endspent __P ((void)); extern struct spwd *sgetspent __P ((__const char *__string)); extern struct spwd *fgetspent __P ((FILE *__fp)); extern struct spwd *getspent __P ((void)); extern struct spwd *getspnam __P ((__const char *__name)); extern int putspent __P ((__const struct spwd *__sp, FILE *__fp)); -------------------------------------------------------------------------------- 我们将使用的□例程式是： getspnam 将对供应名称恢复对我们 spwd 结构。  8.5 □例  这是一个□例描述新增 shadow 支援程式，但预设值并没有。  本□例使用 Point-to-Point Protocol Server (pppd-1.2.1d)，它有个模式是表示 从 /etc/passwd 档取代 PAP 或 CHAP 档使用帐号密码的 PAP 权限，你将不需要在 pppd-2.2.0 加这些程式码，因为它已经存在罗。  pppd 的未来大致上不会被使用很多，但是如果你安装 Shadow Suite，储存在 /etc/passwd 档的密码将无法运作。  在 pppd-1.2.1d 权限使用的程式码是位在 /usr/src/pppd-1.2.1d/pppd/auth.c 档。  接下来程式码需要被加在所有其他 #include 指令档案的最上头，我们将注意有环境指令的 #includes。  -------------------------------------------------------------------------------- #ifdef HAS_SHADOW #include  #include  #endif -------------------------------------------------------------------------------- 接下来要做的事情是变更实际码， 我们将变更 auth.c 档。  变更前 auth.c 档 function 为：  -------------------------------------------------------------------------------- /*  * login - Check the user name and password against the system  * password database, and login the user if OK.  *  * returns:  *　　　UPAP_AUTHNAK: Login failed.  *　　　UPAP_AUTHACK: Login succeeded.  * In either case, msg points to an appropriate message.  */ static int login(user, passwd, msg, msglen) 　　char *user; 　　char *passwd; 　　char **msg; 　　int *msglen; { 　　struct passwd *pw; 　　char *epasswd; 　　char *tty; 　　if ((pw = getpwnam(user)) == NULL) { 　　　　return (UPAP_AUTHNAK); 　　} 　　 /* 　　 * XXX If no passwd, let them login without one. 　　 */ 　　if (pw->pw_passwd == '\0') { 　　　　return (UPAP_AUTHACK); 　　} 　　epasswd = crypt(passwd, pw->pw_passwd); 　　if (strcmp(epasswd, pw->pw_passwd)) { 　　　　return (UPAP_AUTHNAK); 　　} 　　syslog(LOG_INFO, "user %s logged in", user); 　　/* 　　 * Write a wtmp entry for this user. 　　 */ 　　tty = strrchr(devname, '/'); 　　if (tty == NULL) 　　　　tty = devname; 　　else 　　　　tty++; 　　logwtmp(tty, user, "");　　　　　　 /* Add wtmp login entry */ 　　logged_in = TRUE; 　　return (UPAP_AUTHACK); } -------------------------------------------------------------------------------- 使用者的密码被放在 pw->pw_passwd，所以我们需新增 getspnam function，这将会把密码放到 spwd->sp_pwdp。  我们将新增 pwauth function 来表示真正的权限。 这将在 shadow 档设定时自动产生第二个权限。  变更为可以支援 shadow 後的 auth.c function：  -------------------------------------------------------------------------------- /*  * login - Check the user name and password against the system  * password database, and login the user if OK.  *  * This function has been modified to support the linux Shadow Password  * Suite if USE_SHADOW is defined.  *  * returns:  *　　　UPAP_AUTHNAK: Login failed.  *　　　UPAP_AUTHACK: Login succeeded.  * In either case, msg points to an appropriate message.  */ static int login(user, passwd, msg, msglen) 　　char *user; 　　char *passwd; 　　char **msg; 　　int *msglen; { 　　struct passwd *pw; 　　char *epasswd; 　　char *tty; #ifdef USE_SHADOW 　　struct spwd *spwd; 　　struct spwd *getspnam(); #endif 　　if ((pw = getpwnam(user)) == NULL) { 　　　　return (UPAP_AUTHNAK); 　　} #ifdef USE_SHADOW 　　　　spwd = getspnam(user); 　　　　if (spwd) 　　　　　　　　pw->pw_passwd = spwd->sp-pwdp; #endif   　　 /* 　　 * XXX If no passwd, let NOT them login without one. 　　 */ 　　if (pw->pw_passwd == '\0') { 　　　　return (UPAP_AUTHNAK); 　　} #ifdef HAS_SHADOW 　　if ((pw->pw_passwd && pw->pw_passwd[0] == '@' 　　　　 && pw_auth (pw->pw_passwd+1, pw->pw_name, PW_LOGIN, NULL)) 　　　　|| !valid (passwd, pw)) { 　　　　return (UPAP_AUTHNAK); 　　} #else 　　epasswd = crypt(passwd, pw->pw_passwd); 　　if (strcmp(epasswd, pw->pw_passwd)) { 　　　　return (UPAP_AUTHNAK); 　　} #endif 　　syslog(LOG_INFO, "user %s logged in", user); 　　/* 　　 * Write a wtmp entry for this user. 　　 */ 　　tty = strrchr(devname, '/'); 　　if (tty == NULL) 　　　　tty = devname; 　　else 　　　　tty++; 　　logwtmp(tty, user, "");　　　　　　 /* Add wtmp login entry */ 　　logged_in = TRUE; 　　return (UPAP_AUTHACK); } -------------------------------------------------------------------------------- 严谨的□例将启发我们在作其他改变的帮助。 原始的版本如果在 /etc/passwd 档没有任何密码，可允许存取传回的 UPAP_AUTHACK 。这是不好的，因为签入的使用是使用一个允许存取 PPP process的帐号，然後检查帐号密码，该帐号密码是由 RAP 、在 /etc/passwd 档的帐号和 /etc/shadow 档的密码供应。  所以如果我们设定原本版本对每个使用者，如 ppp 可以在 shell 执行，然後任何人可以获得 ppp 链结透过设定他们对使用者 ppp 的 PAP 和 null 的密码。  我们修正 UPAP_AUTHNAK 取代 UPAP_AUTHACK 如果密码栏位是空的。  有趣的是 pppd-2.2.0 有相同的问题。  接下来我们需要变更 Makefile 以便让两件事发生：  USE_SHADOW 必须被重新定义且libshadow.a 需要被新增到链结 process。  编辑 Makefile 且新增：  LIBS = -lshadow 然後我们找到这一行：  COMPILE_FLAGS = -I.. -D_linux_=1 -DGIDSET_TYPE=gid_t 然後改变它变成：  COMPILE_FLAGS = -I.. -D_linux_=1 -DGIDSET_TYPE=gid_t -DUSE_SHADOW 现在执行 make 跟 install.