利用linux pam实现安全验证与管理
发布网友
发布时间：2022-04-22 00:04
共1个回答
热心网友
时间：2023-07-07 20:51
大家都知道现在很多电脑软件都有*用户登陆失败次数的*,Linux也是如此,当你登录失败多次后就可以*用户登录,从而起到保护电脑安全的作用,通过PAM模块即可实现,下面随我一起来了解下吧。Linux有一个pam_tally2.so的PAM模块,来限定用户的登录失败次数,如果次数达到设置的阈值,则锁定用户。编译PAM的配置文件# vim /etc/pam.d/login#%PAM-1.0auth required pam_tally2.so deny=3 lock_time=300 even_deny_root root_unlock_time=10auth ［user_unknown=ignore success=ok ignoreignore=ignore default=bad］ pam_securetty.soauth include system-authaccount required pam_nologin.soaccount include system-authpassword include system-auth# pam_selinux.so close should be the first session rulesession required pam_selinux.so closesession optional pam_keyinit.so force revokesession required pam_loginuid.sosession include system-authsession optional pam_console.so# pam_selinux.so open should only be followed by sessions to be executed in the user contextsession required pam_selinux.so open各参数解释even_deny_root 也*root用户；deny 设置普通用户和root用户连续错误登陆的最大次数,超过最大次数,则锁定该用户unlock_time 设定普通用户锁定后,多少时间后解锁,单位是秒；root_unlock_time 设定root用户锁定后,多少时间后解锁,单位是秒；此处使用的是 pam_tally2 模块,如果不支持 pam_tally2 可以使用 pam_tally 模块。另外,不同的pam版本,设置可能有所不同,具体使用方法,可以参照相关模块的使用规则。在#%PAM-1.0的下面,即第二行,添加内容,一定要写在前面,如果写在后面,虽然用户被锁定,但是只要用户输入正确的密码,还是可以登录的！最终效果如下图这个只是*了用户从tty登录,而没有*远程登录,如果想*远程登录,需要改SSHD文件# vim /etc/pam.d/sshd#%PAM-1.0auth required pam_tally2.so deny=3 unlock_time=300 even_deny_root root_unlock_time=10auth include system-authaccount required pam_nologin.soaccount include system-authpassword include system-authsession optional pam_keyinit.so force revokesession include system-authsession required pam_loginuid.so同样是增加在第2行！查看用户登录失败的次数［root@node100 pam.d］# pam_tally2 --user RedHatLogin Failures Latest failure Fromredhat 7 07/16/12 15:18:22 tty1解锁指定用户［root@node100 pam.d］# pam_tally2 -r -u redhatLogin Failures Latest failure Fromredhat 7 07/16/12 15:18:22 tty1这个远程ssh的时候,没有提示,我用的是Xshell,不知道其它终端有没提示,只要超过设定的值,输入正确的密码也是登陆不了的！上面就是Linux通过PAM模块*用户登录次数的方法,最好设置下,以免别人用工具破解你的电脑,窃取你的隐私信息。
