设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 系统 › [14229] 2019-06-14_等保测评主机安全之centos密码长度 ...
返回列表 发新帖
查看: 11|回复: 0

[14229] 2019-06-14_等保测评主机安全之centos密码长度

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-54

积分

管理员

积分
-54
发表于 2025-1-18 16:28:44 | 显示全部楼层 |阅读模式
2019-06-14_等保测评主机安全之centos密码长度 等 保 测 评 主 机 安 全 之 c e n t o s 密 码 长 度 原 创   起 于 凡 而 非 于 凡   F r e e B u f   2 0 1 9 - 0 6 - 1 4 密 码 长 度 ， 作 为 等 级 保 护 主 机 测 评 项 里 中 密 码 复 杂 度 要 求 之 一 ， 是 必 须 要 查 的 。 密 码 长 度 ， 作 为 等 级 保 护 主 机 测 评 项 里 中 密 码 复 杂 度 要 求 之 一 ， 是 必 须 要 查 的 。 在 《 等 级 测 评 师 初 级 教 程 》 里 ， 对 于 密 码 长 度 的 设 置 指 向 了 / e t c / l o g i n . d e f s 里 的 P A S S _ M I N _ L E N 字 段 。 简 单 明 了 ， 对 新 密 码 的 长 度 最 小 值 做 出 了 限 制 。 不 过 ， 实 际 上 这 个 参 数 是 无 效 的 ， 至 少 在 c e n t o s 6 以 及 以 上 版 本 里 ， 这 个 参 数 对 新 密 码 长 度 没 有 一 点 点 的 制 约 。 比 如 大 家 可 以 试 一 试 ， 给 设 一 个 值 ， 再 用 非 非 r o o t 账 户 账 户 去 改 改 密 码 ， 看 看 对 新 密 码 长 度 有 没 有 影 响 。 甚 至 ， 还 可 以 直 接 删 除 l o g i n . d e f s 文 件 ， 试 一 试 。 反 正 ， 我 的 测 试 结 果 是 ： 这 个 参 数 没 有 起 到 作 用 。 结 果 是 出 来 了 ， 至 于 原 因 ， 我 没 找 到 ， 网 上 也 没 有 相 关 的 资 料 。 或 许 该 参 数 在 c e n t o s 以 前 的 某 个 老 版 本 里 是 有 作 用 的 ， 但 随 着 版 本 更 新 ， 特 别 估 计 是 开 始 使 用 后 ， 该 参 数 就 无 效 化 了 ， 仅 仅 作 为 一 个 迷 惑 人 的 参 数 放 置 在 l o g i n . d e f s 文 件 里 。 实 际 上 真 正 起 作 用 的 ， 是 一 个 模 块 ， 具 体 点 ， 也 就 是 模 块 。 个 人 感 觉 就 是 一 个 模 块 化 、 组 件 化 的 机 制 ， 一 些 人 把 一 些 认 证 、 验 证 以 及 其 他 功 能 实 现 好 了 ， 然 后 上 层 的 应 用 去 调 用 配 置 文 件 （ 接 口 ） ， 而 配 置 文 件 呢 再 调 用 底 层 的 实 现 ， 大 概 就 是 下 图 这 个 样 子 ： 所 谓 的 应 用 程 序 ， 就 包 括 在 l i n u x 里 使 用 的 命 令 ， 好 ， 回 到 密 码 长 度 这 个 话 题 。 修 改 密 码 时 对 于 密 码 的 一 系 列 验 证 由 模 块 实 现 ， 那 么 谁 去 调 用 ？ 那 当 然 就 是 p a s s w d 了 （ 修 改 密 码 的 命 令 ） 。 p a s s w d 怎 么 调 用 的 ？ 是 通 过 配 置 文 件 （ 接 口 ） 做 到 的 。 在 c e n t o s 6 以 及 以 上 版 本 中 ， 这 个 配 置 文 件 就 是 中 与 p a s s w d 同 名 的 文 件 ， 也 就 是 。 #     P A S S _ M I N _ L E N         M i n i m u m   a c c e p t a b l e   p a s s w o r d   l e n g t h . P A S S _ M I N _ L E N         5 P A S S _ M I N _ L E N P A M 认 证 机 制 p a m p a m _ c r a c k l i b . s o P A M 认 证 机 制 p a m _ c r a c k l i b . s o / e t c / p a m . d / e t c / p a m . d / p a s s w d
顺 便 一 提 ， 中 基 本 都 是 这 类 同 名 文 件 ： 的 内 容 如 下 ： 对 于 配 置 文 件 ， 具 有 一 定 的 规 范 ， 第 一 列 代 表 模 块 类 型 ， 类 型 分 为 4 种 ： a u t h :   用 来 对 用 户 的 身 份 进 行 识 别 . 如 : 提 示 用 户 输 入 密 码 , 或 判 断 用 户 是 否 为 r o o t a c c o u n t : 对 帐 号 的 各 项 属 性 进 行 检 查 . 如 : 是 否 允 许 登 录 , 是 否 达 到 最 大 用 户 数 , 或 是 r o o t 用 户 是 否 允 许 在 这 个 终 端 登 录 等 s e s s i o n : 这 个 模 块 用 来 定 义 用 户 登 录 前 的 , 及 用 户 退 出 后 所 要 进 行 的 操 作 . 如 : 登 录 连 接 信 息 , 用 户 数 据 的 打 开 与 关 闭 , 挂 载 文 件 系 统 等 . p a s s w d : 使 用 用 户 信 息 来 更 新 . 如 : 修 改 用 户 密 码 . 这 里 ， 由 于 是 修 改 密 码 ， 所 以 会 使 用 p a s s w d 类 型 的 模 块 。 配 置 文 件 是 可 以 互 相 调 用 的 ， p a s s w d 文 件 里 的 第 三 行 / e t c / p a m . d [ r o o t @ c e n t o s 0 1   ~ ] #   l s   / e t c / p a m . d a t d                               f i n g e r p r i n t - a u t h - a c     p a s s w o r d - a u t h             s m t p                         s y s t e m - c o n f i g - a u t h e n t i c a t i o n a u t h c o n f i g                 g d m                                     p a s s w o r d - a u t h - a c       s m t p . p o s t f i x         s y s t e m - c o n f i g - d a t e a u t h c o n f i g - g t k         g d m - a u t o l o g i n                 p o l k i t - 1                       s m t p . s e n d m a i l       s y s t e m - c o n f i g - k d u m p a u t h c o n f i g - t u i         g d m - f i n g e r p r i n t             p o w e r o f f                       s s h d                         s y s t e m - c o n f i g - k e y b o a r d c h f n                             g d m - p a s s w o r d                   p p p                                 s s h d ~                       s y s t e m - c o n f i g - n e t w o r k c h s h                             g n o m e - s c r e e n s a v e r         r e b o o t                           s s h - k e y c a t             s y s t e m - c o n f i g - n e t w o r k - c m d c o n f i g - u t i l               h a l t                                   r e m o t e                           s u                             s y s t e m - c o n f i g - u s e r s c r o n d                           k s u                                     r u n _ i n i t                       s u d o                         v m t o o l s d c u p s                             l o g i n                                 r u n u s e r                         s u d o - i                     x s e r v e r c v s                               l o g i n ~                               r u n u s e r - l                     s u - l d o v e c o t                       n e w r o l e                             s e t u p                             s y s t e m - a u t h e j e c t                           o t h e r                                 s m a r t c a r d - a u t h           s y s t e m - a u t h ~ f i n g e r p r i n t - a u t h     p a s s w d                               s m a r t c a r d - a u t h - a c     s y s t e m - a u t h - a c / e t c / p a m . d / p a s s w d [ r o o t @ c e n t o s 0 1   ~ ] #   c a t   / e t c / p a m . d / p a s s w d # % P A M - 1 . 0 a u t h               i n c l u d e         s y s t e m - a u t h a c c o u n t         i n c l u d e         s y s t e m - a u t h p a s s w o r d       s u b s t a c k         s y s t e m - a u t h - p a s s w o r d       o p t i o n a l         p a m _ g n o m e _ k e y r i n g . s o p a s s w o r d       s u b s t a c k         s y s t e m - a u t h
就 调 用 了 配 置 文 件 。 这 里 的 s u b s t a c k 和 i n c l u d e 都 是 引 用 的 意 思 ， 只 是 稍 微 有 点 区 别 （ 具 体 百 度 就 知 道 了 ） 。 然 后 这 个 文 件 也 在 的 文 件 夹 中 ， 内 容 为 其 中 ， 具 体 被 引 用 （ 使 用 ） 到 的 是 ： p a s s w o r d       s u b s t a c k         s y s t e m - a u t h s y s t e m - a u t h s y s t e m - a u t h / e t c / p a m . d [ r o o t @ c e n t o s 0 1   ~ ] #   c a t   / e t c / p a m . d / s y s t e m - a u t h # % P A M - 1 . 0 #   T h i s   f i l e   i s   a u t o - g e n e r a t e d . #   U s e r   c h a n g e s   w i l l   b e   d e s t r o y e d   t h e   n e x t   t i m e   a u t h c o n f i g   i s   r u n . a u t h                 r e q u i r e d             p a m _ e n v . s o a u t h                 s u f f i c i e n t         p a m _ f p r i n t d . s o a u t h                 s u f f i c i e n t         p a m _ u n i x . s o   n u l l o k   t r y _ f i r s t _ p a s s a u t h                 r e q u i s i t e           p a m _ s u c c e e d _ i f . s o   u i d   > =   5 0 0   q u i e t a u t h                 r e q u i r e d             p a m _ d e n y . s o a c c o u n t           r e q u i r e d             p a m _ u n i x . s o a c c o u n t           s u f f i c i e n t         p a m _ l o c a l u s e r . s o a c c o u n t           s u f f i c i e n t         p a m _ s u c c e e d _ i f . s o   u i d   <   5 0 0   q u i e t a c c o u n t           r e q u i r e d             p a m _ p e r m i t . s o p a s s w o r d         r e q u i s i t e           p a m _ c r a c k l i b . s o   t r y _ f i r s t _ p a s s   r e t r y = 3   t y p e = p a s s w o r d         s u f f i c i e n t         p a m _ u n i x . s o   s h a 5 1 2   s h a d o w   n u l l o k   t r y _ f i r s t _ p a s s   u s e _ a u t h t o k p a s s w o r d         r e q u i r e d             p a m _ d e n y . s o s e s s i o n           o p t i o n a l             p a m _ k e y i n i t . s o   r e v o k e s e s s i o n           r e q u i r e d             p a m _ l i m i t s . s o s e s s i o n           [ s u c c e s s = 1   d e f a u l t = i g n o r e ]   p a m _ s u c c e e d _ i f . s o   s e r v i c e   i n   c r o n d   q u i e t   u s e _ u i d s e s s i o n           r e q u i r e d             p a m _ u n i x . s o p a s s w o r d         r e q u i s i t e           p a m _ c r a c k l i b . s o   t r y _ f i r s t _ p a s s   r e t r y = 3   t y p e = p a s s w o r d         s u f f i c i e n t         p a m _ u n i x . s o   s h a 5 1 2   s h a d o w   n u l l o k   t r y _ f i r s t _ p a s s   u s e _ a u t h t o k
模 块 有 不 少 参 数 ， 主 要 常 用 的 有 这 几 个 （ 摘 抄 于 网 上 ） ： 似 乎 到 这 里 就 差 不 多 了 ， 因 为 都 找 到 了 实 际 控 制 新 密 码 最 小 长 度 的 地 方 了 ， 但 其 实 还 没 完 呢 。 因 为 网 上 关 于 p a m _ c r a c k l i b 模 块 中 这 几 个 参 数 的 解 释 ， 可 以 说 ， 基 本 上 都 是 不 准 确 的 。 那 当 然 ， 我 都 这 么 说 了 ， 我 这 里 自 然 会 给 一 个 准 确 的 解 释 （ 我 觉 得 这 应 该 是 全 网 唯 一 清 楚 且 准 确 的 中 文 解 释 了 全 网 唯 一 清 楚 且 准 确 的 中 文 解 释 了 ， 因 为 我 自 己 在 查 找 资 料 的 时 候 完 全 没 有 搜 到 ， 有 些 资 料 比 较 接 近 ， 但 实 际 还 是 没 说 清 楚 ） 。 准 确 的 解 释 来 m a n 命 令 输 出 的 说 明 文 档 ： h t t p s : / / l i n u x . d i e . n e t / m a n / 8 / p a m _ c r a c k l i b 其 实 写 得 还 是 比 较 清 楚 的 ， 但 是 还 是 有 点 抽 象 ， 我 稍 微 解 释 下 。 m i n l e n 确 实 有 最 小 长 度 的 意 思 ， 但 是 当 d c r e d i t 、 u c r e d i t 、 l c r e d i t 、 o c r e d i t 的 值 （ N ） 大 于 等 于 零 的 时 候 ， 情 况 就 不 同 了 。 N 大 于 零 的 时 候 ， 完 全 不 是 网 上 说 的 “ 最 多 可 以 有 多 少 个 数 字 或 大 小 写 字 母 或 特 殊 字 符 ” 的 意 思 ， 而 是 计 算 长 度 的 时 候 会 有 变 化 。 比 如 o c r e d i t （ 特 殊 字 符 ） 的 值 是 2 的 时 候 ， 就 代 表 有 最 多 有 2 个 特 殊 字 符 的 长 度 额 外 能 加 1 。 当 你 设 置 的 密 码 是 ： @ # ￥ ， 它 的 长 度 被 算 作 是 5 ， 而 不 是 3 。 因 为 有 2 个 特 殊 字 符 的 长 度 被 看 做 是 2 （ 额 外 加 了 个 1 ） ， 而 第 3 个 特 殊 字 符 没 有 此 类 变 化 ， 长 度 仍 被 视 作 是 1 ， 所 以 总 共 长 度 时 （ 2 + 2 ） + 1 = 5 。 所 以 ， 如 果 o c r e d i t 的 值 是 4 ， 那 么 @ # ￥ % & 的 长 度 就 是 （ 4 + 4 ） + 1 = 9 。 其 余 的 大 小 写 字 母 和 数 字 的 值 大 于 零 时 ， 也 是 这 个 意 思 。 而 他 们 的 默 认 值 都 是 1 ， 也 就 是 会 有 1 个 字 符 的 长 度 额 外 加 1 。 所 以 如 果 你 什 么 都 不 设 置 ， 就 设 置 m i n l e n = 8 的 话 ， 理 论 上 你 的 新 密 码 只 要 4 类 字 符 都 包 含 ， 那 么 4 个 字 符 就 够 了 ， 比 如 ： 1 A a @ 当 然 ， 如 果 你 真 这 么 设 置 ， 实 际 上 是 不 行 的 ， 因 为 除 了 m i n l e n 对 长 度 有 限 制 ， c r a c k l i b 内 部 有 代 码 对 其 有 限 制 ， 而 且 优 先 级 高 于 m i n l e n 。 解 释 如 下 ： N o t e   t h a t   t h e r e   i s   a   p a i r   o f   l e n g t h   l i m i t s   i n   C r a c k l i b   i t s e l f ,   a   “ w a y   t o o   s h o r t ”   l i m i t   o f   4   w h i c h   i s   h a r d   c o d e d   i n a n d   a   d e f i n e d   l i m i t   ( 6 )   t h a t   w i l l   b e   c h e c k e d   w i t h o u t   r e f e r e n c e   t o   m i n l e n 。 大 概 的 代 码 如 下 ： p a s s w o r d         s u f f i c i e n t         p a m _ u n i x . s o   s h a 5 1 2   s h a d o w   n u l l o k   t r y _ f i r s t _ p a s s   u s e _ a u t h t o k p a s s w o r d         r e q u i r e d             p a m _ d e n y . s o p a m _ c r a c k l i b . s o m i n l e n = N ： 最 小 密 码 长 度 。 d c r e d i t = N ： 当 N > = 0 时 ， N 代 表 新 密 码 最 多 可 以 有 多 少 个 阿 拉 伯 数 字 。 当 N < 0 时 ， N 代 表 新 密 码 最 少 要 有 多 少 个 阿 拉 伯 数 字 。 u c r e d i t = N ： 和 d c r e d i t 差 不 多 ， 但 是 这 里 说 的 是 大 写 字 母 。 l c r e d i t = N ： 和 d c r e d i t 差 不 多 ， 但 是 这 里 说 的 是 小 写 字 母 。 o c r e d i t = N ： 和 d c r e d i t 差 不 多 ， 但 是 这 里 说 的 是 特 殊 字 符 。 # d e f i n e   M I N L E N   6 　 　 c h a r   * 　 　 F a s c i s t L o o k ( p w p ,   i n s t r i n g ) 　 　   P W D I C T   * p w p ; 　 　   c h a r   * i n s t r i n g ; 　 　 { 　 　   i n t   i i ;
所 以 说 ， 如 果 长 度 小 于 4 ， 会 输 出 i t ’ s   W A Y   t o o   s h o r t ， 如 果 大 于 4 小 于 6 ， 会 输 出 i t   i s   t o o   s h o r t 。 当 然 ， 超 过 了 6 之 后 ， 就 是 由 m i n l e n 控 制 了 。 嗯 … … 扯 了 这 么 久 ， 大 概 把 修 改 密 码 时 密 码 长 度 的 事 情 说 完 了 。 正 如 前 言 所 说 ， 和 等 保 关 系 不 大 。 不 过 如 果 在 检 查 的 时 候 看 到 P A S S _ M I N _ L E N         8   的 时 候 ， 是 给 这 1 分 还 是 不 给 分 呢 ？ 我 想 大 家 在 心 里 都 是 有 答 案 的 ， 嘿 嘿 。 另 外 ， 这 个 p a m 认 证 机 制 还 是 经 常 会 碰 到 的 ， 比 如 在 登 录 失 败 处 理 功 能 中 ， 是 用 p a m _ t a l l y 或 者 p a m _ t a l l y 2 模 块 去 实 现 。 所 以 聪 明 的 你 一 定 知 道 具 体 应 该 去 哪 个 配 置 文 件 里 查 看 是 否 进 行 设 置 了 。 　 　   i n t   i i ; 　 　   c h a r   * p t r ; 　 　   c h a r   * j p t r ; 　 　   c h a r   j u n k [ S T R I N G S I Z E ] ; 　 　   c h a r   * p a s s w o r d ; 　 　   c h a r   r p a s s w o r d [ S T R I N G S I Z E ] ; 　 　   i n t 3 2   n o t f o u n d ; 　 　   n o t f o u n d   =   P W _ W O R D S ( p w p ) ; 　 　   / *   a l r e a d y   t r u n c a t e d   i f   f r o m   F a s c i s t C h e c k ( )   * / 　 　   / *   b u t   p r e t e n d   i t   w a s n ' t   . . .   * / 　 　   s t r n c p y ( r p a s s w o r d ,   i n s t r i n g ,   T R U N C S T R I N G S I Z E ) ; 　 　   r p a s s w o r d [ T R U N C S T R I N G S I Z E   -   1 ]   =   ' ' ; 　 　   p a s s w o r d   =   r p a s s w o r d ; 　 　   i f   ( s t r l e n ( p a s s w o r d )   <   4 ) 　 　   { 　 　   r e t u r n   ( " i t ' s   W A Y   t o o   s h o r t " ) ; 　 　   } 　 　   i f   ( s t r l e n ( p a s s w o r d )   <   M I N L E N ) 　 　   { 　 　   r e t u r n   ( " i t   i s   t o o   s h o r t " ) ; 　 　   } 　 　   j p t r   =   j u n k ; 　 　   * j p t r   =   ' ' ; 　 　   f o r   ( i i   =   0 ;   i i   <   S T R I N G S I Z E   & &   p a s s w o r d [ i i ] ;   i i + + ) 　 　   { 　 　   i f   ( ! s t r c h r ( j u n k ,   p a s s w o r d [ i i ] ) ) 　 　   { 　 　   * ( j p t r + + )   =   p a s s w o r d [ i i ] ; 　 　   * j p t r   =   ' ' ; 　 　   } 　 　   } 　 　   i f   ( s t r l e n ( j u n k )   <   M I N D
比 如 远 程 s s h 连 接 的 登 录 失 败 处 理 功 能 ， 自 然 就 是 去 p a m . d 文 件 夹 中 的 s s h d 文 件 查 看 ， s s h d 又 引 用 p a s s w d - a u t h ， 所 这 两 个 文 件 都 可 以 实 现 失 败 处 理 （ 所 以 初 级 教 程 让 你 去 s y s t e m - a u t h 里 查 看 配 置 ， 其 实 是 管 不 了 s s h 远 程 连 接 登 录 的 ， 实 际 上 管 的 是 本 地 t t y 终 端 登 录 ） 。 而 本 地 t t y 终 端 登 录 ， 也 就 是 使 用 l o g i n 命 令 ， 是 去 p a m . d 文 件 夹 中 的 l o g i n 文 件 查 看 ， l o g i n 则 引 用 s y s t e m - a u t h 文 件 ， 同 理 ， 这 两 个 文 件 都 可 以 实 现 。 至 于 s u 命 令 和 图 形 化 界 面 窗 口 登 录 （ 比 如 g d m - p a s s w o r d ） 也 是 按 照 这 种 方 法 去 查 看 有 效 配 置 文 件 在 哪 儿 。 就 先 写 到 这 了 ， 以 后 有 空 再 写 一 写 其 他 的 。 * 本 文 原 创 作 者 ： 起 于 凡 而 非 于 凡 ， 本 文 属 本 文 原 创 作 者 ： 起 于 凡 而 非 于 凡 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-2-2 20:34 , Processed in 0.460513 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表