Linux下Wheel用户组介绍

By admin in 美高梅手机版4858 on 2019年3月31日

前日遇见一个很想获得的业务,有一台服务器在采取su

root命令切换来root账号时,老是报密码不得法。可是root密码完全是没错的,而且可以应用账号密码直接ssh登录服务器。分外疑忌,如下所示:

 

 

[oracle@DB-Server ~]$ more /etc/redhat-release 

Red Hat Enterprise Linux Server release 5.7 (Tikanga)

[oracle@DB-Server ~]$ su - root

Password: 

su: incorrect password

[oracle@DB-Server ~]$ 

 

 

美高梅手机版4858 1

 

 

前面谷歌搜索了有的素材,然后测试、验证后才弄理解了具体原因。在Linux中为了更进一步增进系统的安全性,很有必不可少建立了叁个总指挥的组,只允许这么些组的用户来推行“su
-”命令登录为root用户,而让此外组的用户正是实行“su
-”、输入了不错的root密码,也无从登录为root用户。在UNIX和Linux下,那么些组的名目常常为“wheel”。而以此是在布局文件/etc/pam.d/su里面配备的。如下截图所示:

 

“auth  
required    
pam_wheel.so use_uid”   
表示禁止非wheel组用户切换成root。所以就应运而生了上边在oracle用户下切换root用户报密码错误的气象

 

 

[root@DB-Server ~]# groups oracle

oracle : oinstall dba

[root@DB-Server ~]# cat /etc/pam.d/su

 

 

 

美高梅手机版4858 2

 

 

 

Wheel组概念 

 

Linux下Wheel用户组介绍。Wheel组是Unix系统一个遗留物。当服务器要求做比一般例行维护更尖端的办事的时候,就平日索要用到root权限了。而那一个wheel组正是起家用来综合一些异样的连串用户用的,那在那之中的用户都或多或少地有着root的有个别机能和权杖。也便是说假若你不是wheel组成员,那就从未root身上任何的特权。也因为这么,使用wheel组成员用户来说,会尽量减弱对系统“摧毁性”破坏的票房价值微危机。近日多数的Linux发行版本中,依然保留了wheel这么些组,尽管它早已不像当年布署出来的那么须要了,但是多少老玩家如故忠于这种旧式经典风格的,所以他们平时依旧一如既往让wheel组发挥着昔日的效应。他们是那样做的:在建立他们协调的用户时,将其添加入wheel组中(用wheel组作为用户的主组),可能利用vigr来编辑/etc/group文件,将她们的用户名扩充到wheel组那行的末段。

 

 

为啥供给wheel组?

 

一般在UNIX下,固然大家是系统的管理人,也不推荐用
root 用户登录来展开系统一管理理。一般景况下用普通用户登录,在急需 root
权限履行一些操作时,再 su 登录成为 root 用户。不过,任哪个人只要掌握了
root 的密码,就都得以透过 su 命令来报到为 root 用户——那活脱脱为系统带来了安全隐患。所以,将普通用户插足到
wheel
组,被插手的那几个普通用户就成了组织者组内的用户,但如若不对部分连锁的布署文件进行陈设,这些管理员组内的用户与普通用户也没怎么分别——就像是警察下班后,没有带枪、穿那便衣和普通人(用户)一样,就算她的的确确是警察。这么些对于系统安全确实很有补助。

 

1:查看wheel组

 

[root@DB-Server
~]# cat /etc/group | grep wheel

wheel:x:10:root

[root@DB-Server
~]# groups oracle 
–查看某些用户的用户组

oracle
: oinstall dba

 

2:检查日志发现那三个做了su切换的日志消息。

 

[root@DB-Server
~]#  grep su
/var/log/secure | grep -v sudo

Jun
20 11:32:46 DB-Server su: pam_unix(su-l:session): session opened for
user oracle by root(uid=0)

Jun
20 11:32:53 DB-Server su: pam_unix(su-l:auth): authentication failure;
logname=root uid=500 euid=0 tty=pts/2 ruser=oracle rhost=  user=root

Jun
20 11:33:07 DB-Server su: pam_unix(su-l:auth): authentication failure;
logname=root uid=500 euid=0 tty=pts/2 ruser=oracle rhost=  user=root

Jun
20 11:33:20 DB-Server su: pam_unix(su-l:session): session closed for
user oracle

[root@DB-Server
~]#

 

焚薮而田办法也相当的粗略,要么将相应的账号进入wheel组,要么注释掉配置文件/etc/pam.d/su中的”auth  
required    
pam_wheel.so use_uid” 那一行记录。

 

 

参考资料:

 

 

 

昨日赶上1个很奇怪的事务,有一台服务器在动用su

root命令切换成root账号时,老是报密码不正确。不过root密码完全是天经地义的,而且能够选择账号密码直接ssh登录服务器。至极狐疑,如下所示:

 

 

[oracle@DB-Server ~]$ more /etc/redhat-release 

Red Hat Enterprise Linux Server release 5.7 (Tikanga)

[oracle@DB-Server ~]$ su - root

Password: 

su: incorrect password

[oracle@DB-Server ~]$ 

 

 

美高梅手机版4858 3

 

 

末尾谷歌(Google)搜索了一部分资料,然后测试、验证后才弄领会了切实可行原因。在Linux中为了更进一步增强系统的安全性,很有要求建立了1个管理员的组,只同意那个组的用户来执行“su
-”命令登录为root用户,而让其余组的用户正是实施“su
-”、输入了科学的root密码,也不能够登录为root用户。在UNIX和Linux下,那个组的称谓平日为“wheel”。而那个是在计划文件/etc/pam.d/su里面配备的。如下截图所示:

 

“auth  
required    
pam_wheel.so use_uid”   
表示禁止非wheel组用户切换来root。所以就出现了上边在oracle用户下切换root用户报密码错误的处境

 

 

[root@DB-Server ~]# groups oracle

oracle : oinstall dba

[root@DB-Server ~]# cat /etc/pam.d/su

 

 

 

美高梅手机版4858 4

 

 

 

Wheel组概念 

 

Wheel组是Unix系统2个遗留物。当服务器须要做比平常例行维护更尖端的做事的时候,就时不时必要用到root权限了。而以此wheel组正是确立用来综合一些特种的系统用户用的,那其中的用户都或多或少地拥有root的局地机能和权力。也正是说假如你不是wheel组成员,那就不曾root身上任何的特权。也因为如此,使用wheel组成员用户来说,会尽量减弱对系统“摧毁性”破坏的概率和高危机。方今大多数的Linux发行版本中,照旧保留了wheel那一个组,即便它早已不像当年规划出来的那样须求了,可是有个别老玩家依旧忠于那种旧式经典风格的,所以她们不时如故照旧让wheel组发挥着过去的职能。他们是这么做的:在建立他们协调的用户时,将其添参预wheel组中(用wheel组作为用户的主组),或许利用vigr来编辑/etc/group文件,将她们的用户名扩大到wheel组那行的末尾。

 

 

缘何供给wheel组?

 

一般在UNIX下,尽管我们是系统的组织者,也不引进用
root 用户登录来展开系统一管理理。一般情状下用普通用户登录,在须要 root
权限履行一些操作时,再 su 登录成为 root 用户。不过,任何人一旦通晓了
root 的密码,就都得以因而 su 命令来报到为 root 用户——那的确为系统带来了安全隐患。所以,将普通用户加入到
wheel
组,被投入的这些普通用户就成了协会者组内的用户,但假若不对部分生死相依的布置文件进行安插,那些管理员组内的用户与普通用户也没怎么分歧——仿佛巡警下班后,没有带枪、穿那便衣和老百姓(用户)一样,就算她的的确确是警察。那一个对于系统安全确实很有扶持。

 

1:查看wheel组

 

[root@DB-Server
~]# cat /etc/group | grep wheel

wheel:x:10:root

[root@DB-Server
~]# groups oracle 
–查看某些用户的用户组

oracle
: oinstall dba

 

2:检查日志发现那个做了su切换的日记音信。

 

[root@DB-Server
~]#  grep su
/var/log/secure | grep -v sudo

Jun
20 11:32:46 DB-Server su: pam_unix(su-l:session): session opened for
user oracle by root(uid=0)

Jun
20 11:32:53 DB-Server su: pam_unix(su-l:auth): authentication failure;
logname=root uid=500 euid=0 tty=pts/2 ruser=oracle rhost=  user=root

Jun
20 11:33:07 DB-Server su: pam_unix(su-l:auth): authentication failure;
logname=root uid=500 euid=0 tty=pts/2 ruser=oracle rhost=  user=root

Jun
20 11:33:20 DB-Server su: pam_unix(su-l:session): session closed for
user oracle

[root@DB-Server
~]#

 

化解措施也很简单,要么将相应的账号进入wheel组,要么注释掉配置文件/etc/pam.d/su中的”auth  
required    
pam_wheel.so use_uid” 那一行记录。

 

 

参考资料:

 

 

 

Linux下Wheel用户组介绍,linuxwheel用户组

前天遇上二个很想拿到的作业,有一台服务器在选用su –
root命令切换来root账号时,老是报密码不得法。但是root密码完全是未可厚非的,而且能够行使账号密码直接ssh登录服务器。非凡疑心,如下所示:

 

 

[[email protected] ~]$ more /etc/redhat-release 

Red Hat Enterprise Linux Server release 5.7 (Tikanga)

[[email protected] ~]$ su - root

Password: 

su: incorrect password

[[email protected] ~]$ 

 

 

 

 

背后谷歌(Google)搜索了一些素材,然后测试、验证后才弄通晓了现实原因。在Linux中为了更进一步进步系统的安全性,很有需求建立了一个组织者的组,只同意那么些组的用户来实施“su
-”命令登录为root用户,而让任何组的用户正是实施“su
-”、输入了不易的root密码,也手足无措登录为root用户。在UNIX和Linux下,那一个组的称号平常为“wheel”。而那些是在配备文件/etc/pam.d/su里面配备的。如下截图所示:

 

“auth   required     pam_wheel.so use_uid”   
表示禁止非wheel组用户切换成root。所以就涌出了地点在oracle用户下切换root用户报密码错误的情形

 

 

[[email protected] ~]# groups oracle

oracle : oinstall dba

[[email protected] ~]# cat /etc/pam.d/su

 

 

 

 

 

 

Wheel组概念 

 

Wheel组是Unix系统二个遗留物。当服务器须求做比常常例行维护更尖端的干活的时候,就隔三差五必要用到root权限了。而以此wheel组正是创制用来综合一些特殊的系统用户用的,那其间的用户都或多或少地具有root的一部分机能和权限。也正是说借使你不是wheel组成员,那就平昔不root身上任何的特权。也因为如此,使用wheel组成员用户来说,会尽量缩小对系统“摧毁性”破坏的可能率和高危机。最近超越二分一的Linux发行版本中,如故保留了wheel那一个组,即使它已经不像当年设计出来的那样须要了,但是有个别老玩家依旧忠于那种旧式经典风格的,所以她们时常如故照旧让wheel组发挥着过去的法力。他们是如此做的:在创造他们友善的用户时,将其添出席wheel组中(用wheel组作为用户的主组),大概采取vigr来编辑/etc/group文件,将她们的用户名扩大到wheel组那行的结尾。

 

 

何以必要wheel组?

 

常常在UNIX下,尽管我们是系统的领队,也不推荐用 root
用户登录来拓展系统一管理理。一般景况下用普通用户登录,在须要 root
权限履行一些操作时,再 su 登录成为 root 用户。可是,任何人只要知道了
root 的密码,就都得以通过 su 命令来报到为 root
用户——那活脱脱为系统带来了安全隐患。所以,将普通用户参加到 wheel
组,被投入的这一个普通用户就成了组织者组内的用户,但只要不对有个别相关的布署文件举办配置,那一个管理员组内的用户与普通用户也没怎么分别——就像警察下班后,没有带枪、穿那便衣和普通人(用户)一样,就算她的的确确是警察。这么些对于系统安全确实很有支持。

 

1:查看wheel组

 

[[email protected]
~]# cat /etc/group | grep wheel

wheel:x:10:root

[[email protected]
~]# groups oracle  –查看有些用户的用户组

oracle : oinstall dba

 

2:检查日志发现那一个做了su切换的日志新闻。

 

[[email protected]
~]#  grep su /var/log/secure | grep -v sudo

Jun 20 11:32:46 DB-Server su: pam_unix(su-l:session): session opened
for user oracle by root(uid=0)

Jun 20 11:32:53 DB-Server su: pam_unix(su-l:auth): authentication
failure; logname=root uid=500 euid=0 tty=pts/2 ruser=oracle rhost= 
user=root

Jun 20 11:33:07 DB-Server su: pam_unix(su-l:auth): authentication
failure; logname=root uid=500 euid=0 tty=pts/2 ruser=oracle rhost= 
user=root

Jun 20 11:33:20 DB-Server su: pam_unix(su-l:session): session closed
for user oracle

[[email protected]
~]#

 

缓解格局也一点也不细略,要么将相应的账号进入wheel组,要么注释掉配置文件/etc/pam.d/su中的”auth  
required     pam_wheel.so use_uid” 那一行记录。

 

 

参考资料:

 

 

 

前些天蒙受3个很想得到的事体,有一台服务器在应用su –
root命令切换成root账号时,老是报密码不得法。…

 

  那篇小说较详细

开辟/etc/pam.d/目录下的别的1个配备文件,当中每行的证实规则都接纳如下所示的语法格式:
    Type  Control-flag  Module-path  Module-arguments
   
个中每行代表贰个独门的求证措施,每一种配置文件能够由三种注解规则相互叠加而成。验证时PAM-API会根据从上往下的办法挨个读取这几个验证规则,并基于在那之中的控制标志做出相应的动作。

required    有个别退步,继续往下,直到全体完结后。
requisite    有个别退步,全数甘休
sufficient    某些成功,全数截止

   
验证服务模块-用于授予用户访问帐户或劳动的权位。提供此服务的模块能够印证用户并安装用户凭证。

   
帐户管理模块-用于鲜明当前用户的帐户是不是管用。提供此服务的模块能够检查口令或帐户的失效期以及限时访问。

    会话管理模块-用于设置和终止登录会话。

    口令管理模块-用于强制实施口令强度规则并施行验证令牌更新。

[root@84-monitor pam.d]# cat sshd
#%PAM-1.0
auth       required     pam_sepermit.so
auth       include      password-auth
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
# pam_selinux.so close should be the first session rule
session    required     pam_selinux.so close
session    required     pam_loginuid.so
# pam_selinux.so open should only be followed by sessions to be
executed in the user context
session    required     pam_selinux.so open env_params
session    optional     pam_keyinit.so force revoke
session    include      password-auth

[root@84-monitor pam.d]# cat password-auth-ac
#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        required      pam_deny.so

account     required      pam_unix.so
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 500 quiet
account     required      pam_permit.so

password    requisite     pam_cracklib.so try_first_pass retry=3
type=
password    sufficient    pam_unix.so sha512 shadow nullok
try_first_pass use_authtok
password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
session     [success=1 default=ignore] pam_succeed_if.so service in
crond quiet use_uid
session     required      pam_unix.so

[root@84-monitor pam.d]# cat login
#%PAM-1.0
auth [user_unknown=ignore success=ok ignore=ignore default=bad]
pam_securetty.so
auth       include      system-auth
account    required     pam_nologin.so
account    include      system-auth
password   include      system-auth
# pam_selinux.so close should be the first session rule
session    required     pam_selinux.so close
session    required     pam_loginuid.so
session    optional     pam_console.so
# pam_selinux.so open should only be followed by sessions to be
executed in the user context
session    required     pam_selinux.so open
session    required     pam_namespace.so
session    optional     pam_keyinit.so force revoke
session    include      system-auth
-session   optional     pam_ck_connector.so

减号的意思是倘使因为系统里从未这几个模块而不可能载入的话,pam库将不记录日志。

 

 

linux-PAM (Pluggable Authentication Modules for
linux)是三个共享库套件,它能使当地系统一管理理员选用应用程序怎样验证用户,

大规模的应用程序有login,sshd,su,sudo,passwd

 

login的pam日志,操作为在本地控制台登录输入用户名与密码
Dec  9 11:34:31 localhost login: pam_unix(login:session): session
opened for user root by LOGIN(uid=0)
Dec  9 11:34:31 localhost login: ROOT LOGIN ON tty1
Dec  9 11:42:06 localhost login: pam_unix(login:session): session
closed for user root

sshd的pam日志,操作为ssh连接3个服务器并输入用户名与密码,查看日志,然后退出
Dec  9 11:38:52 localhost sshd[30208]: Accepted password for root from
192.168.1.88 port 50718 ssh2
Dec  9 11:38:52 localhost sshd[30208]: pam_unix(sshd:session):
session opened for user root by (uid=0)
Dec  9 11:40:13 localhost sshd[30208]: pam_unix(sshd:session):
session closed for user root
 
su的pam日志,操作为用普通用户登录,然后su -输入root密码,然后退出
Dec  9 11:46:02 localhost su: pam_unix(su-l:session): session opened
for user root by a1(uid=500)
Dec  9 11:47:27 localhost su: pam_unix(su-l:session): session closed
for user root

sudo的pam日志,第壹条是输入普通用户密码错误,第壹条是此普通用户不在sudoers
file里
美高梅手机版4858,Dec  9 11:58:47 localhost sudo: pam_unix(sudo:auth): authentication
failure; logname=a1 uid=500 euid=0 tty=/dev/pts/0 ruser=a1 rhost= 
user=a1
Dec  9 11:59:00 localhost sudo:       a1 : user NOT in sudoers ;
TTY=pts/0 ; PWD=/home/a1 ; USER=root ; COMMAND=/bin/df -h
Dec  9 14:16:25 localhost sudo:       a1 : TTY=pts/0 ; PWD=/home/a1 ;
USER=root ; COMMAND=/sbin/fdisk -l
Dec  9 14:17:03 localhost sudo:       a1 : user NOT in sudoers ;
TTY=pts/0 ; PWD=/home/a1 ; USER=root ; COMMAND=/sbin/fdisk -l
修改上面,将a1前的#号去掉,即时生效,然后实施sudo时会成功。
[root@localhost pam.d]# visudo
## Allow root to run any commands anywhere
root    ALL=(ALL)       ALL
#a1 ALL=/bin/df -h,/sbin/fdisk

passwd的pam日志,操作为普通用户登录,然后passwd改自身的密码,第1条日志是方今密码输入错误,第①条是因为太复杂密码分歧盟,最后一条是设置成功
Dec  9 11:50:22 localhost passwd: pam_unix(passwd:chauthtok):
authentication failure; logname=a1 uid=500 euid=0 tty=pts/0 ruser=
rhost=  user=a1
Dec  9 11:55:44 localhost passwd: pam_cracklib(passwd:chauthtok):
pam_get_authtok_verify returned error: Failed preliminary check by
password service
Dec  9 11:57:30 localhost passwd: pam_unix(passwd:chauthtok): password
changed for a1

发表评论

电子邮件地址不会被公开。 必填项已用*标注

网站地图xml地图
Copyright @ 2010-2019 美高梅手机版4858 版权所有