SCO UNIX 口令文件介紹

sdccf

作者：太陽(yáng)花  出處：xy369.com

/etc/passwd文件是UNIX安全的關(guān)鍵文件之一.該文件用于用戶登錄時(shí)校驗(yàn)用戶的口令,當(dāng)然應(yīng)當(dāng)僅對(duì)root可寫(xiě).
文件中每行的一般格式為:
LOGNAME:PASSWORD:UID:GID:USERINFO:HOME:SHELL
每行的頭兩項(xiàng)是登錄名和加密后的口令,后面的兩個(gè)數(shù)是UID和GID,接著的一項(xiàng)是系統(tǒng)管理員想寫(xiě)入的有關(guān)該用戶的任何信息,最后兩項(xiàng)是兩個(gè)路
徑名: 一個(gè)是分配給用戶的HOME目錄,第二個(gè)是用戶登錄后將執(zhí)行的shell(若為空格則 缺省為/bin/sh).
(1)口令時(shí)效
/etc/passwd文件的格式使系統(tǒng)管理員能要求用戶定期地改變他們的口令.在口令文件中可以看到,有些加密后的口令有逗號(hào),逗號(hào)后有幾個(gè)字符
和一個(gè) 冒號(hào).如:
steve:xyDfccTrt180x,M.y8:0:0:admin:/:/bin/sh
restrict:pomJk109Jky41,.1:0:0:admin:/:/bin/sh
pat:xmotTVoyumjls:0:0:admin:/:/bin/sh
可以看到,steve的口令逗號(hào)后有4個(gè)字符,restrict有2個(gè),pat沒(méi)有逗號(hào).
逗號(hào)后第一個(gè)字符是口令有效期的最大周數(shù),第二個(gè)字符決定了用戶再次修改口信之前,原口令應(yīng)使用的最小周數(shù)(這就防止了用戶改了新口令后
立刻又改回成老口令).其余字符表明口令最新修改時(shí)間.
要能讀懂口令中逗號(hào)后的信息,必須首先知道如何用passwd_esc計(jì)數(shù),計(jì)數(shù)的方法是: .=0 /=1 0-9=2-11 A-Z=12-37 a-z=38-63 /etc/passwd
文件,以要求用戶定期的修改口令,另外兩個(gè)字符當(dāng)用戶修改口令時(shí),由passwd命令填入.
注意:若想讓用戶修改口令,可在最后一次口令被修改時(shí), 放兩個(gè)".",則下一次用戶登錄時(shí)將被要求修改自己的口令.
有兩種特殊情況:
. 最大周數(shù)(第一個(gè)字符)小于最小周數(shù)(第二個(gè)字符),則不允許用戶修改口令,僅超級(jí)用戶可以修改用戶的口令.
. 第一個(gè)字符和第二個(gè)字符都是".",這時(shí)用戶下次登錄時(shí)被要求修改口令,修改口令后,passwd命令將"."刪除, 此后再不會(huì)要求用戶修改口令.
(2)UID和GID
/etc/passwd中UID信息很重要,系統(tǒng)使用UID而不是登錄名區(qū)別用戶.一般來(lái)說(shuō),用戶的UID應(yīng)當(dāng)是獨(dú)一無(wú)二的,其他用戶不應(yīng)當(dāng)有相同的UID數(shù)值.
根據(jù)慣 例,從0到99的UID保留用作系統(tǒng)用戶的UID(root,bin,uucp等).
如果在/etc/passwd文件中有兩個(gè)不同的入口項(xiàng)有相同的UID,則這兩個(gè)用戶對(duì)相互的文件具有相同的存取權(quán)限.
/etc/group文件含有關(guān)于小組的信息,/etc/passwd中的每個(gè)GID在本文件中應(yīng)當(dāng)有相應(yīng)的入口項(xiàng),入口項(xiàng)中列出了小組名和小組中的用戶.這樣可
方便地了 解每個(gè)小組的用戶,否則必須根據(jù)GID在/etc/passwd文件中從頭至尾地尋找同組 用戶.
/etc/group文件對(duì)小組的許可權(quán)限的控制并不是必要的, 因?yàn)橄到y(tǒng)用UID,GID(取自/etc/passwd)決定文件存取權(quán)限,即使/etc/group文件不存在
于系統(tǒng)中,具有相同的GID用戶也可以小組的存取許可權(quán)限共享文件.
小組就像登錄用戶一樣可以有口令.如果/etc/passwd文件入口項(xiàng)的第二個(gè)域?yàn)榉强?則將被認(rèn)為是加密口令,newgrp命令將要求用戶給出口令,然
后將口令加密,再與該域的加密口令比較.
給小組建立口令一般不是個(gè)好作法.第一,如果小組內(nèi)共享文件,若有某人猜著小組口令,則該組的所有用戶的文件就可能泄漏;其次,管理小組口
令很費(fèi)事, 因?yàn)閷?duì)于小組沒(méi)有類似的passwd命令.可用/usr/lib/makekey生成一個(gè)口令寫(xiě)入/etc/group.
以下情況必須建立新組:
(1)可能要增加新用戶,該用戶不屬于任何一個(gè)現(xiàn)有的小組.
(2)有的用戶可能時(shí)常需要獨(dú)自為一個(gè)小組.
(3)有的用戶可能有一個(gè)SGID程序,需要獨(dú)自為一個(gè)小組.
(4)有時(shí)可能要安裝運(yùn)行SGID的軟件系統(tǒng),該軟件系統(tǒng)需要建立一個(gè)新組.
要增加一個(gè)新組,必須編輯該文件,為新組加一個(gè)入口項(xiàng). 由于用戶登錄時(shí),系統(tǒng)從/etc/passwd文件中取GID,而不是從/etc/group中 取GID,所以
group文件和口令文件應(yīng)當(dāng)具有一致性.對(duì)于一個(gè)用戶的小組,UID和GID應(yīng)當(dāng)是相同的.多用戶小組的GID應(yīng)當(dāng)不同于任何用戶的UID,一般為5位數(shù),
這樣在查看/etc/passwd文件時(shí),就可根據(jù)5位數(shù) 據(jù)的GID識(shí)別多用戶小組,這將減少 增加新組,新用戶時(shí)可能產(chǎn)生的混淆.

  


本文來(lái)自ChinaUnix博客，如果查看原文請(qǐng)點(diǎn)：http://blog.chinaunix.net/u/31/showart_509054.html