清单 1. 要了解程序是否使用了 PAM，请使用 ldd 并查找 libpam.so 库。您需要提供程序的完整路径；如果您不知道，请使用 whereis。

$ whereis login
login: /bin/login /etc/login.defs /usr/share/man/man3/login.3.gz 
 ↪/usr/share/man/man1/login.1.gz
$ ldd /bin/login
        linux-gate.so.1 =>  (0xffffe000)
        libpam_misc.so.0 => /lib/libpam_misc.so.0 (0xb7eff000)
        libpam.so.0 => /lib/libpam.so.0 (0xb7ef3000)
        libaudit.so.0 => /lib/libaudit.so.0 (0xb7edf000)
        libc.so.6 => /lib/libc.so.6 (0xb7dac000)
        libdl.so.2 => /lib/libdl.so.2 (0xb7da8000)
        /lib/ld-linux.so.2 (0xb7f25000)

表 1. PAM 具有四组检查，组织为堆栈。将要使用的组取决于用户的需求。

表 2. 对于每个堆栈，模块按顺序执行，具体取决于它们的控制标志。您必须指定相应的检查是强制性的、可选的等等。

注意

请记住，玩弄配置文件可能对您的健康有害！一个特别糟糕的事情是意外删除所有配置文件，因为那样您将无法再次登录。在您开始实验之前，请务必备份所有文件，并准备好 live CD 以备不时之需。

清单 2. 安全的 “other” 定义禁止在没有特定规则的情况下进行所有通用访问。pam_deny.so 模块始终返回失败，因此所有访问尝试都将被拒绝，并且 pam_warn.so 向系统管理员发送警告。

#
# default; deny all accesses
#
auth    required       pam_deny.so
auth    required       pam_warn.so
account required       pam_deny.so
password        required        pam_deny.so
password        required        pam_warn.so
session required        pam_deny.so

清单 3. PAM 定义，等效于标准的 UNIX 安全规则。注意：在某些发行版上，您可能需要使用 pam_unix.so 代替。

#
# standard UNIX minimalistic rules
#
auth    required        pam_unix2.so
account required        pam_unix2.so
password        required        pam_unix2.so
session required        pam_unix2.so

清单 4. /etc/pam.d/sshd 指定了 SSH 连接的安全规则。pam_access.so 模块已添加到标准配置中，以提供进一步的检查。

auth    required        pam_unix2.so
auth    required        pam_nologin.so
account required        pam_unix2.so
account required        pam_access.so
session required        pam_limits.so
session required        pam_unix2.so
session optional        pam_umask.so
password        requisite       pam_pwcheck.so cracklib
password        required        pam_unix2.so use_authtok

清单 5. pam_access.so 使用 /etc/security/access.conf 来决定允许哪些用户登录以及从哪些 IP 登录。在本例中，来自本地网络的每个人都可以登录，但只有 remoteKereki 允许外部访问。

+ : ALL : 192.168.
+ : remoteKereki : ALL
- : ALL : ALL

清单 6. /etc/pam.d/passwd 文件中的密码部分，强制执行新密码的良好做法。

#
# retry=3 allows three tries for a new password
# minlen=10 requires at least ten characters
# ucredit=-1 requires at least one uppercase character
# lcredit=0 accepts any number of lowercase characters
# dcredit=-2 requires at least two digits
# ocredit=-1 requires at least one non-alphabetic symbol
#
password required pam_cracklib.so retry=3 minlen=10 \
     ucredit=-1 lcredit=0 dcredit=-2 ocredit=-1 
#
# As pam_cracklib only checks passwords, but doesn't store 
# them, we require the standard pam_unix module for this.
# The use_authtok parameter ensures pam_unix won't ask for a 
# password by itself, but rather will use the one provided by 
# pam_cracklib.
#
password  required pam_unix.so use_authtok nullok

• pam_unix2.so：以经典的 UNIX 方式提供传统的密码、权限、会话和密码更改方法。

• pam_nologin.so：如果文件 /etc/nologin 存在，则禁止登录。

• pam_access.so：实施访问控制的额外规则（本文稍后将详细介绍我如何使用它）。

• pam_limits.so：根据文件 /etc/security/limits.conf 强制执行用户或组的限制。

• pam_umask.so：为当前环境设置文件模式创建掩码（执行info umask以获取更多信息）。

• pam_pwcheck：强制执行密码强度检查（本文稍后将详细介绍此模块的进一步用途）。

• 新密码是否太短？

• 新密码与旧密码是否过于相似？

• 新密码是否仅仅是旧密码的反转或旋转（例如，safe123 和 123safe）？

• 新密码是否与旧密码相同，只是大小写发生了变化（例如，sEcReT 和 SEcrET）？

• 新密码以前是否已使用过？（旧密码存储在 /etc/security/opasswd 文件中。）

• minlen=数字：指定新密码的最小长度（默认情况下为五个字符）。如果您将其设置为零，则接受所有密码长度。

• cracklib=字典路径：允许使用 cracklib 库进行密码检查。如果新密码在字典中，则简单的暴力攻击会很快猜到它。

• tries=数字：设置如果之前的尝试因过于简单而被拒绝，则允许多少次尝试。

• remember=数字：定义将记住多少个以前的密码。

模块，无处不在

您系统的安全性取决于您使用的模块。模块存储在 /lib/security 或 /lib64/security（对于 64 位系统）中，但某些发行版不遵循此标准。例如，您可能会在 /usr/lib/security 中找到模块。如果您愿意，您可以编写自己的模块（请参阅“资源”部分），但对于初学者来说，您可能可以使用标准模块进行管理。以下是更常见模块的列表。有关更多信息，请使用man命令。另请注意，没有标准模块列表，每个发行版可能包含更多模块或以下模块的变体。

pam_access: 根据 IP、登录名、主机名或域名等允许或拒绝访问。默认情况下，访问规则在 /etc/security/access.conf 中指定。每当用户登录时，都会按顺序扫描访问规则以找到第一个匹配项，并相应地授予或拒绝权限。另请参阅 pam_time 以了解更多限制。

pam_cracklib 和 pam_pwcheck: 提供密码强度检查，并禁止重复、过于简单和容易猜测的可能性。系统会提示用户输入密码，如果密码通过预定义的规则并且被认为是强密码，则会再次提示用户进行检查。

pam_deny: 简单地拒绝访问。它可以用于阻止用户作为默认规则。另请参阅 pam_permit。

pam_echo: 向用户显示（可配置的）文本消息。另请参阅 pam_motd。

pam_env: 允许设置或取消设置环境变量。默认规则取自 /etc/security/pam_env.conf。

pam_exec: 调用外部命令。

pam_lastlog: 显示上次登录的日期和时间。

pam_limits: 设置用户可能需要的系统资源限制。默认限制取自 /etc/security/limits.conf。

pam_listfile: 根据文件允许或拒绝服务。例如，您可以通过在 /etc/pam.d/ftpd 文件中包含以下行来限制对文件 /etc/ftpusers_ok 中用户的 FTP 访问auth required pam_listfile.so item=user sense=allow file=/etc/ftpusers_ok onerr=fail在 /etc/pam.d/ftpd 文件中。另请参阅 pam_nologin。

pam_mail: 通知用户他们是否有邮件。

pam_mkhomedir: 如果用户主目录在本地计算机上不存在，则创建用户主目录。这允许您使用中央身份验证（例如 NIS 或 LDAP），并在需要时才创建用户目录。

pam_motd: 向用户显示 “每日消息” 文件。另请参阅 pam_echo。

pam_nologin: 当 /etc/nologin 存在时禁止登录。

pam_permit: 允许无需检查即可进入—非常不安全！另请参阅 pam_deny。

pam_rootok: 允许 root 用户无需进一步检查即可访问。这通常在 /etc/pam.d/su 中使用，以允许 root 用户充当另一个用户而无需输入密码。该文件应包含以下行（关于第二行，请参阅 pam_wheel）

auth  sufficient   pam_rootok.so
auth  required     pam_wheel.so
auth  required     pam_unix.so

pam_succeed_if: 测试账户特征，例如属于某个组、具有某个 UID 等。

pam_time: 根据星期几和一天中的时间限制对服务的访问。默认规则取自 /etc/security/time.conf。但是请注意，仅强制执行登录时间。没有办法强制用户之后注销。

pam_umask: 设置文件模式创建掩码。

pam_unix 或 pam_unix2: 基于 /etc/passwd 和 /etc/shadow 文件的经典 UNIX 风格身份验证。另请参阅 pam_userdb。

pam_userdb: 针对数据库进行身份验证。另请参阅 pam_unix。

pam_warn: 将服务、终端、用户和更多数据记录到系统日志中。该模块可以在任何地方使用，因为它不会影响身份验证过程。

pam_wheel: 仅允许 wheel 组的成员进行 root 访问。这通常用于su，因此只有选定的用户可以使用它。有关示例，请参阅 pam_rootok 条目。

参考资源

E. W. Hornung 的 “禧年礼物”： hornung.thefreelibrary.com/Raffles-Further-Adventures-Of-The-Amateur-Cracksman/2-1

官方 PAM 文档： www.kernel.org/pub/linux/libs/pam

配置文件详细信息： www.kernel.org/pub/linux/libs/pam/Linux-PAM-html/sag-configuration-file.html

常用 PAM 模块： www.kernel.org/pub/linux/libs/pam/Linux-PAM-html/sag-module-reference.html