第十課Linux服務(wù)器安全之pam模塊

1、IT168IT168之之LinuxLinux加固教程加固教程（第十講）（第十講）Linux服務(wù)器安全之服務(wù)器安全之pam模塊模塊講講 師：楊師：楊 寧寧( (cnbirdcnbird) QQ:441303228) QQ:441303228官方網(wǎng)站官方網(wǎng)站:http:/:http:/E-MAILE-MAIL： 本章知識(shí)點(diǎn) n了解什么是PAMn了解PAM是如何實(shí)現(xiàn)認(rèn)證功能n了解PAM對(duì)安全的重要作用一. PAM概念nLinux-PAM(Pluggable Authentication Modules for Linux.基于Linux的插入式驗(yàn)證模塊)是一組共享庫(kù)，使用這些模塊，系統(tǒng)管理者可以自由

2、選擇應(yīng)用程序使用的驗(yàn)證機(jī)制。也就是說(shuō)，勿需重新編譯應(yīng)用程序就可以切換應(yīng)用程序使用的驗(yàn)證機(jī)制。甚至，不必觸動(dòng)應(yīng)用程序就可以完全升級(jí)系統(tǒng)使用的驗(yàn)證機(jī)制。 PAM的應(yīng)用目的nLinux-PAM工程的目的就是分離應(yīng)用軟件和驗(yàn)證機(jī)制的開(kāi)發(fā)。通過(guò)驗(yàn)證函數(shù)庫(kù)可以實(shí)現(xiàn)上述目的。PAM庫(kù)由本地的系統(tǒng)配置文件/etc/pam.conf或者/etc/pam.d/目錄下的一些配置文件來(lái)設(shè)置。而模塊以動(dòng)態(tài)可加載目標(biāo)文件(使用dloptn(3)函數(shù)打開(kāi))的形式保存在/usr/lib/security目錄中。nPAM文檔的最詳細(xì)的本地資料. /usr/share/doc/pam-0.77/txts 詳細(xì)的模塊說(shuō)明 /usr

3、/share/doc/pam-0.77/html PAM相關(guān)的說(shuō)明二.怎么區(qū)分是否使用了PAMn使用ldd命令，如果這個(gè)程序的使用的動(dòng)態(tài)連接庫(kù)沒(méi)有l(wèi)ibpam和libpam_misc，那它肯定不使用PAM驗(yàn)證。然而，還有可能已經(jīng)包含這兩個(gè)庫(kù)了，但是因?yàn)槟承﹩?wèn)題，程序無(wú)法正常工作。因此需要更好的方法來(lái)測(cè)試。 對(duì)于需要使用PAM的程序，需要在/etc/pam.d目錄中為其設(shè)置配置文件。 三三.配置文件的語(yǔ)法配置文件的語(yǔ)法(一)nservice-name module-type control-flag module-path argumentsService-name 為這個(gè)入口分配的服務(wù)名。通常

4、這是給定應(yīng)用程序的會(huì)話名。例如：ftpd、rlogind、su等等。 配置文件的語(yǔ)法配置文件的語(yǔ)法(二二) modle-type Linux-PAM當(dāng)前有四種類(lèi)型的模塊auth account session password 配置文件的語(yǔ)法配置文件的語(yǔ)法(三三)ncontrol-flagrequired requisite sufficient optional三.配置介紹n/etc/pam.d/login四.其他常見(jiàn)PAM模塊pam_securetty該模塊用來(lái)控制root用戶只可以從包含在/etc/securetty文件中的終端登錄系統(tǒng)。pam_shell認(rèn)證模塊 如果用戶的shell在/etc/shells中列出，則允許用戶進(jìn)行驗(yàn)證，如果/etc/passwd中沒(méi)有指定shell，則缺省使用/bin/sh DEMOnPAM加固n