设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [14384] 2019-07-23_等保测评：CentOS登录失败参数详解 ...
返回列表 发新帖
查看: 1|回复: 0

[14384] 2019-07-23_等保测评：CentOS登录失败参数详解和双因素认证

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2019-07-23_等保测评：CentOS登录失败参数详解和双因素认证 等 保 测 评 ： C e n t O S 登 录 失 败 参 数 详 解 和 双 因 素 认 证 起 于 凡 而 非 于 凡   F r e e B u f   2 0 1 9 - 0 7 - 2 3 注 ： 本 文 上 半 部 和 等 保 联 系 不 是 很 密 切 ， 还 是 说 一 了 些 注 ： 本 文 上 半 部 和 等 保 联 系 不 是 很 密 切 ， 还 是 说 一 了 些 l i n u x 里 细 节 一 些 的 东 西 ， 所 以 有 可 能 会 浪 费 你 生 命 中 的 里 细 节 一 些 的 东 西 ， 所 以 有 可 能 会 浪 费 你 生 命 中 的 好 几 分 钟 ， 同 时 我 使 用 的 是 好 几 分 钟 ， 同 时 我 使 用 的 是 c e n t o s 6 。 。 一 、 登 录 失 败 处 理 功 能 参 数 详 解 一 、 登 录 失 败 处 理 功 能 参 数 详 解 首 先 贴 上 我 的 上 一 篇 文 章 ： 等 保 测 评 主 机 安 全 ： 首 先 贴 上 我 的 上 一 篇 文 章 ： 等 保 测 评 主 机 安 全 ： C e n t O S 密 码 修 改 周 期 与 登 录 失 败 处 理 ， 登 录 失 败 处 理 功 能 的 上 密 码 修 改 周 期 与 登 录 失 败 处 理 ， 登 录 失 败 处 理 功 能 的 上 半 段 内 容 在 这 篇 文 章 的 下 半 部 分 ， 本 篇 文 章 主 要 说 半 段 内 容 在 这 篇 文 章 的 下 半 部 分 ， 本 篇 文 章 主 要 说 p a m _ t a l l y 2 的 参 数 所 代 表 的 的 意 思 。 的 参 数 所 代 表 的 的 意 思 。 在 测 评 时 ， 设 计 登 录 失 败 处 理 功 能 ， 就 少 不 了 要 使 用 在 测 评 时 ， 设 计 登 录 失 败 处 理 功 能 ， 就 少 不 了 要 使 用 p a m _ t a l l y 2 （ （ c e n t o s 6 和 之 后 的 版 本 ） ， 那 么 就 有 必 要 明 白 和 之 后 的 版 本 ） ， 那 么 就 有 必 要 明 白 这 个 模 块 各 个 参 数 （ 选 项 ） 的 意 义 。 这 个 模 块 各 个 参 数 （ 选 项 ） 的 意 义 。 而 网 上 对 于 p a m _ t a l l y 2 参 数 资 料 ， 不 能 说 不 对 ， 但 是 总 觉 得 不 够 详 细 和 全 面 ， 所 以 写 了 这 篇 文 章 说 明 说 明 。 首 先 ， 先 贴 上 常 用 的 参 数 解 释 ， 保 证 来 源 部 分 不 会 出 错 ， 同 时 给 出 中 文 解 释 ， 大 家 可 以 对 照 着 看 ： 1 . 1 .   d e n y 这 个 就 不 用 多 说 了 ， 登 录 失 败 次 数 一 旦 大 于 等 于 该 数 值 ， 所 登 录 的 账 号 就 会 被 锁 定 。 1 . 2 .   l o c k _ t i m e 这 个 比 较 不 常 见 ， 好 像 一 般 都 不 怎 么 说 这 个 参 数 ， 这 个 参 数 的 意 思 就 是 你 每 一 次 登 录 失 败 后 ， 在 尚 未 达 到 d e n y 所 设 置 的 次 数 时 ， 会 限 制 你 登 录 的 时 间 。 举 个 例 子 ， 如 果 你 设 置 d e n y 是 3 ， l o c k _ t i m e 为 1 0 。 那 么 你 第 1 次 和 第 2 次 登 录 失 败 时 ， 在 1 0 s 内 的 登 录 是 无 效 的 ， 输 入 啥 都 不 会 让 你 登 进 去 的 。 另 外 当 你 达 到 了 第 3 次 登 录 失 败 后 ， 该 参 数 失 效 ， 由 u n l o c k _ t i m e 来 接 管 。 1 . 3 .   u n l o c k _ t i m e 这 个 就 很 常 见 了 ， 意 思 就 是 当 你 登 录 失 败 的 次 数 大 于 等 于 d e n y 所 设 置 的 数 值 时 ， 账 号 锁 定 的 时 间 ， 就 不 必 多 解 释 了 吧 ？
1 . 4 .   m a g i c _ r o o t 这 个 的 意 思 也 很 简 单 ， 如 果 不 包 含 这 个 参 数 ， 则 哪 怕 是 r o o t 也 会 增 加 失 败 计 数 ， 但 注 意 ， 增 加 失 败 计 数 不 代 表 r o o t 就 会 被 锁 定 ， 这 是 两 码 事 。 在 t a l l y 2 的 源 代 码 中 表 示 如 下 （ c 语 言 ） ： i f   ( ! ( o p t s - > c t r l   &   O P T _ M A G I C _ R O O T )   | |   g e t u i d ( ) ) 很 好 解 释 ， 就 是 当 你 传 入 的 参 数 中 有 m a g i c _ r o o t 选 项 且 为 r o o t 用 户 时 ， 整 个 表 达 式 的 值 才 为 f a l s e ， 才 不 会 去 执 行 i f 内 的 语 句 ， 也 就 是 增 加 失 败 计 数 ： t a l l y . f a i l _ c n t   + =   i n c 。 传 入 的 参 数 中 有 m a g i c _ r o o t 选 项 ， 则 ! ( o p t s - > c t r l   &   O P T _ M A G I C _ R O O T ) 部 分 的 b o o l 值 为 f a l s e 是 r o o t 用 户 ， 而 g e t u i d ( ) 的 返 回 值 是 当 前 用 户 的 u i d ， 所 以 该 部 分 为 0 ， 转 为 b o o l 类 型 则 为 f a l s e ， 则 此 时 | | 运 算 符 两 边 皆 为 f a l s e ， 所 以 不 会 执 行 。 而 在 源 代 码 的 另 外 一 处 ， t a l l y _ c h e c k 函 数 中 ， 有 这 样 的 代 码 ： 这 个 就 更 好 解 释 了 ， 如 果 存 在 m a g i c _ r o o t 参 数 ， 且 是 r o o t 账 号 ， 就 不 经 过 执 行 下 面 的 代 码 ， 直 接 返 回 成 功 了 。 那 么 如 果 是 r o o t 账 号 ， 但 没 有 设 置 m a g i c _ r o o t 参 数 呢 ？ 其 实 也 不 一 定 会 对 r o o t 账 号 进 行 锁 定 设 置 ， 请 看 下 一 个 参 数 。 1 . 5 .   e v e n _ d e n y _ r o o t 意 思 就 是 说 ， 有 这 个 参 数 ， 只 要 达 到 了 d e n y 设 定 的 值 ， r o o t 账 号 照 样 也 会 被 锁 定 。 在 t a l l y _ c h e c k 函 数 中 ， 如 果 是 r o o t 账 号 ， 但 没 有 设 置 m a g i c _ r o o t 参 数 ， 则 代 码 会 往 下 执 行 ， 其 中 有 一 个 i f 判 断 如 下 ： 注 意 看 ( ( o p t s - > c t r l   &   O P T _ D E N Y _ R O O T )   | |   u i d ) ) ， 意 思 如 果 没 有 设 置 e v e n _ d e n y _ r o o t 选 项 ， 且 u i d 为 0 也 就 是 r o o t 账 号 的 情 况 下 ， i f 语 句 块 的 代 码 就 不 会 执 行 。 同 样 反 过 来 ， 只 要 设 置 e v e n _ d e n y _ r o o t 选 项 ， 无 论 啥 账 号 ， 都 会 执 行 i f 语 句 块 的 代 码 。 或 者 没 有 设 置 e v e n _ d e n y _ r o o t 选 项 ， 但 不 是 r o o t 账 号 ， 也 会 执 行 i f 语 句 块 的 代 码 。 插 一 句 ， 在 t a l l y 2 源 代 码 中 ， 对 传 入 选 项 的 解 析 阶 段 ， 有 这 么 一 段 ：         i f   ( ! ( o p t s - > c t r l   &   O P T _ M A G I C _ R O O T )   | |   g e t u i d ( ) )   {             / *   m a g i c _ r o o t   d o e s n ' t   c h a n g e   t a l l y   * /             t a l l y . f a i l _ c n t   + =   i n c ;             i f   ( t a l l y . f a i l _ c n t   = =   T A L L Y _ H I )   {   / *   O v e r f l o w   * a n d *   u n d e r f l o w .   : )   * /                     t a l l y . f a i l _ c n t   - =   i n c ;                     p a m _ s y s l o g ( p a m h ,   L O G _ A L E R T ,   " T a l l y   % s f l o w e d   f o r   u s e r   % s " ,                                   ( i n c < 0 ) ? " u n d e r " : " o v e r " , u s e r ) ;             }         }       i f   ( ( o p t s - > c t r l   &   O P T _ M A G I C _ R O O T )   & &   g e t u i d ( )   = =   0 )   {             r e t u r n   P A M _ S U C C E S S ;         }         / *   m a g i c _ r o o t   s k i p s   t a l l y   c h e c k   * / i f   ( o p t s - > d e n y   ! =   0   & &                                                 / *   d e n y = = 0   m e a n s   n o   d e n y                 * /                 t a l l y - > f a i l _ c n t   >   o p t s - > d e n y   & &                       / *   t a l l y > d e n y   m e a n s   e x c e e d e d         * /                 ( ( o p t s - > c t r l   &   O P T _ D E N Y _ R O O T )   | |   u i d ) )   {     / *   e v e n _ d e n y   s t o p s   u i d   c h e c k         * /             e l s e   i f   (   !   s t r c m p (   * a r g v ,   " e v e n _ d e n y _ r o o t _ a c c o u n t "   )   | |                                 !   s t r c m p (   * a r g v ,   " e v e n _ d e n y _ r o o t "   )   )   {         l o g _ p h a s e _ n o _ a u t h ( p a m h ,   p h a s e ,   * a r g v ) ;
也 就 是 说 传 入 e v e n _ d e n y _ r o o t _ a c c o u n t 好 像 也 是 可 以 的 ， 可 能 是 为 了 兼 容 以 前 的 版 本 什 么 的 ？ 1 . 6 .   r o o t _ u n l o c k _ t i m e 这 个 就 是 和 e v e n _ d e n y _ r o o t 配 合 使 用 的 ， 如 果 r o o t 账 号 被 锁 定 ， 则 它 所 锁 定 的 时 间 。 这 里 就 有 一 个 问 题 ， 如 果 只 有 e v e n _ d e n y _ r o o t 选 项 ， 没 有 设 置 r o o t _ u n l o c k _ t i m e 选 项 ， r o o t 账 号 会 被 锁 定 多 久 ？ 解 释 中 好 像 没 说 ， 直 接 看 t a l l y 2 解 析 传 入 选 项 的 源 代 码 的 倒 数 第 二 句 ： r o o t _ u n l o c k _ t i m e 的 默 认 值 是 - 1 ， 所 以 如 果 发 现 你 没 有 给 它 进 行 设 置 ， 在 最 后 ， 它 就 会 等 于 u n l o c k _ t i m e 。 反 过 来 ， 如 果 只 有 r o o t _ u n l o c k _ t i m e 而 没 有 e v e n _ d e n y _ r o o t ， 又 会 怎 么 样 ？ 可 以 看 t a l l y 2 解 析 传 入 选 项 的 源 代 码 ： 好 像 是 如 果 传 入 了 r o o t _ u n l o c k _ t i m e 且 可 以 转 化 为 数 字 的 话 ， 就 相 当 于 传 入 了 e v e n _ d e n y _ r o o t 参 数 。 啰 嗦 了 这 么 多 ， 应 该 把 常 用 参 数 解 释 清 楚 了 。 对 于 这 些 参 数 ， 如 果 光 看 网 上 搜 的 资 料 ， 发 现 有 不 清 楚 的 地 方 ， 就 应 该 直 接 去 看 m a n 里 面 的 解 释 。 如 果 解 释 里 面 写 得 也 不 够 明 白 ， 那 么 就 直 接 看 代 码 。 无 论 怎 么 说 ， 代 码 总 是 功 能 的 直 接 体 现 ， 是 不 会 产 生 困 惑 的 。 二 、 双 因 素 认 证 二 、 双 因 素 认 证 这 一 部 分 没 有 特 别 明 确 的 标 准 ， 所 以 仅 为 个 人 经 验 ， 而 我 又 没 多 少 经 验 ， 所 以 如 果 有 错 误 请 见 谅 。 2 . 1 .   堡 垒 机 堡 垒 机 其 实 常 用 的 的 做 法 就 是 ， 通 过 堡 垒 机 来 管 理 服 务 器 。 同 时 ， 堡 垒 机 使 用 双 因 素 认 证 ， 从 而 间 接 的 达 到 了 服 务 器 的 双 因 素 认 证 。 但 是 首 先 ， 这 种 方 式 似 乎 不 能 被 认 为 是 认 证 ：         l o g _ p h a s e _ n o _ a u t h ( p a m h ,   p h a s e ,   * a r g v ) ;                 o p t s - > c t r l   | =   O P T _ D E N Y _ R O O T ;             }   i f   ( o p t s - > r o o t _ u n l o c k _ t i m e   = =   - 1 )         o p t s - > r o o t _ u n l o c k _ t i m e   =   o p t s - > u n l o c k _ t i m e ;             e l s e   i f   (   !   s t r n c m p (   * a r g v ,   " r o o t _ u n l o c k _ t i m e = " ,   1 7   )   )   {         l o g _ p h a s e _ n o _ a u t h ( p a m h ,   p h a s e ,   * a r g v ) ;                 i f   (   s s c a n f ( ( * a r g v ) + 1 7 , " % l d " , & o p t s - > r o o t _ u n l o c k _ t i m e )   ! =   1   )   {                     p a m _ s y s l o g ( p a m h ,   L O G _ E R R ,   " b a d   n u m b e r   s u p p l i e d :   % s " ,   * a r g v ) ;                     r e t u r n   P A M _ A U T H _ E R R ;                 }                 o p t s - > c t r l   | =   O P T _ D E N Y _ R O O T ;   / *   e v e n _ d e n y _ r o o t   i m p l i e d   * /             }
不 过 如 果 就 算 被 认 为 是 双 因 素 认 证 ， 也 有 两 点 值 得 注 意 。 第 一 点 第 一 点 堡 垒 机 必 须 强 制 使 用 双 因 素 认 证 方 式 ， 而 不 是 任 选 一 种 方 式 进 行 登 录 。 第 二 点 第 二 点 堡 垒 机 所 管 理 的 服 务 器 ， 必 须 对 连 接 方 式 进 行 限 制 ， 通 过 防 火 墙 或 者 网 络 设 备 什 么 的 ， 确 保 只 能 通 过 堡 垒 机 进 行 连 接 。 否 则 ， 就 算 堡 垒 机 强 制 使 用 双 因 素 认 证 ， 但 服 务 器 还 是 能 通 过 远 程 桌 面 或 者 s s h 连 上 去 ， 那 堡 垒 机 的 双 因 素 认 证 就 意 义 不 大 了 。 2 . 2 .   V P N V P N 方 式 和 堡 垒 机 有 点 像 ， v p n 本 身 也 可 以 使 用 双 因 素 进 行 身 份 鉴 别 ， 比 如 S A N G F O R   S S L   V P N ， 就 可 以 在 控 制 台 中 进 行 设 置 （ 功 能 好 像 挺 多 的 ， 可 以 做 很 多 设 置 ） ： 但 关 键 的 还 是 要 看 配 置 有 没 有 做 全 面 ： 第 一 点 第 一 点 只 能 通 过 v p n 连 接 服 务 器 ， 有 些 单 位 的 内 网 直 接 可 以 用 w i f i 连 上 ， 防 火 墙 那 也 没 对 访 问 服 务 器 远 程 端 口 的 i p 做 出 限 制 ，
只 要 连 上 w i f i 就 能 连 服 务 器 ， 那 这 种 v p n 的 双 因 素 认 证 就 不 能 认 为 是 服 务 器 的 双 因 素 认 证 。 或 者 如 果 对 访 问 远 程 端 口 的 i p 没 有 做 出 限 制 ， 但 是 没 有 内 网 w i f i ， 要 连 内 网 就 得 拿 网 线 跑 去 机 房 连 接 的 话 ， 感 觉 也 算 是 做 了 限 制 。 第 二 点 第 二 点 那 自 然 就 是 登 录 v p n 要 强 制 使 用 双 因 素 认 证 啦 。 2 . 3 .   p a m 插 件 插 件 另 外 一 种 比 较 双 因 素 认 证 的 方 式 ， 对 于 c e n t o s 等 l i n u x 系 统 ， 就 是 通 过 使 用 p a m 组 件 。 关 于 p a m ， 请 看 等 保 测 评 主 机 安 全 ： C e n t O S 密 码 修 改 周 期 与 登 录 失 败 处 理 中 的 登 录 失 败 处 理 功 能 部 分 ， 里 面 对 p a m 做 了 一 个 比 较 清 晰 的 介 绍 。 不 过 这 里 不 妨 可 以 再 说 下 ， p a m 全 名 是 可 插 拔 认 证 模 块 ， 比 如 登 录 l i n u x 系 统 时 ， 验 证 用 户 名 密 码 其 实 就 是 通 过 调 用 p a m 的 一 个 验 证 模 块 — — p a m _ u n i x 。 而 这 个 模 块 干 的 事 情 ， 也 就 是 提 示 你 输 入 用 户 名 和 密 码 ， 然 后 应 该 是 分 别 和 p a s s w d 以 及 s h a d o w 文 件 进 行 对 比 ， 最 后 返 回 成 功 或 失 败 。 所 以 ， 想 实 现 双 因 素 认 证 ， 比 如 “ 用 户 名 / 口 令 ” + “ 手 机 短 信 ” 的 认 证 方 式 ， 完 全 可 以 直 接 修 改 p a m _ u n i x 模 块 （ c 语 言 ） ， 增 加 “ 手 机 短 信 ” 验 证 功 能 。 又 或 者 增 加 一 个 自 定 义 验 证 模 块 ， 里 面 使 用 手 机 短 信 验 证 ， 然 后 通 过 配 置 文 件 中 的 控 制 标 记 ， 让 这 个 自 定 义 的 模 块 和 p a m _ u n i x 模 块 都 成 功 才 验 证 成 功 ， 也 能 实 现 效 果 。 至 于 具 体 有 没 有 这 样 的 模 块 ? 大 家 百 度 搜 索 c e n t o s   双 因 素 认 证 即 可 ， 具 体 就 不 说 了 ， 网 上 的 资 料 介 绍 得 还 是 很 清 晰 的 。 2 . 4 .   s s h 密 钥 方 式 登 录 密 钥 方 式 登 录 这 个 我 也 不 知 道 是 不 是 啊 ， 但 是 我 感 觉 似 乎 可 以 算 是 ？ 简 单 来 说 就 是 对 于 c e n t o s 等 l i n u x 系 统 ， 在 s s h 的 配 置 文 件 中 ， 禁 掉 用 户 名 、 密 码 登 录 方 式 ， 使 用 密 钥 （ 公 钥 / 私 钥 ） + 私 钥 密 码 的 方 式 进 行 登 录 。 网 上 资 料 如 下 ： 注 意 ， 在 建 立 密 钥 对 的 时 候 是 可 以 设 置 私 钥 的 密 码 的 。 这 样 ， 你 进 行 登 录 的 时 候 ， 比 如 使 用 x s h e l l 进 行 远 程 连 接 ， 用 户 名 本 来 就 需 要 输 入 ， 私 钥 也 要 提 供 ， 私 钥 的 密 码 也 要 提 供 。 这 样 应 该 算 是 双 因 素 了 吧 ？ [ r o o t @ h o s t   ~ ] $   s s h - k e y g e n     < = =   建 立 密 钥 对 G e n e r a t i n g   p u b l i c / p r i v a t e   r s a   k e y   p a i r . E n t e r   f i l e   i n   w h i c h   t o   s a v e   t h e   k e y   ( / r o o t / . s s h / i d _ r s a ) :   < = =   按   E n t e r C r e a t e d   d i r e c t o r y   ' / r o o t / . s s h ' . E n t e r   p a s s p h r a s e   ( e m p t y   f o r   n o   p a s s p h r a s e ) :   < = =   输 入 密 钥 锁 码 ， 或 直 接 按   E n t e r   留 空 E n t e r   s a m e   p a s s p h r a s e   a g a i n :   < = =   再 输 入 一 遍 密 钥 锁 码 Y o u r   i d e n t i f i c a t i o n   h a s   b e e n   s a v e d   i n   / r o o t / . s s h / i d _ r s a .   < = =   私 钥 Y o u r   p u b l i c   k e y   h a s   b e e n   s a v e d   i n   / r o o t / . s s h / i d _ r s a . p u b .   < = =   公 钥 T h e   k e y   f i n g e r p r i n t   i s : 0 f : d 3 : e 7 : 1 a : 1 c : b d : 5 c : 0 3 : f 1 : 1 9 : f 1 : 2 2 : d f : 9 b : c c : 0 8   r o o t @ h o s t
* 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 起 于 凡 而 非 于 凡 ， 本 文 属 于 起 于 凡 而 非 于 凡 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 13:18 , Processed in 0.535551 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表