PAM 认证与权限提升：模块栈、密码策略与 sudo 深入

应用（login/su/sshd/sudo）
   │ 调用 pam_authenticate() / pam_acct_mgmt() / ...
   ↓
PAM 框架（libpam）
   │ 读 /etc/pam.d/<服务名> 的配置栈
   ↓
模块（pam_unix.so、pam_faillock.so、pam_pwquality.so …）
   │ 各自完成一件事，返回 success/fail
   ↓
最终结果 → 应用决定放行或拒绝

典型认证栈的「短路」逻辑：

auth  required  pam_faillock.so preauth     ← 先检查是否已锁定
auth  [success=1 default=bad] pam_unix.so   ← 密码正确则跳过下一行
auth  requisite pam_deny.so                 ← 密码错则直接拒绝
auth  sufficient pam_unix.so                ← （其他认证方式）

ls /etc/pam.d/                    # 看有哪些服务
cat /etc/pam.d/sshd               # SSH 登录的认证栈
cat /etc/pam.d/sudo               # sudo 的认证栈

# 典型的 /etc/pam.d/sshd（简化）
auth       required   pam_env.so
auth       required   pam_faillock.so preauth
auth       [success=1 default=bad] pam_unix.so
auth       required   pam_deny.so
account    required   pam_unix.so
account    required   pam_faillock.so
session    required   pam_limits.so
session    required   pam_systemd.so
@include   common-session

# Debian 系的公共文件
ls /etc/pam.d/common-*
# RHEL 系用 system-auth / password-auth
ls /etc/pam.d/system-auth /etc/pam.d/password-auth

# pam_unix 常用参数
#   nullok        —— 允许空密码（危险，别用）
#   sha512        —— 密码哈希算法
#   try_first_pass —— 用上一个模块已输入的密码
auth required pam_unix.so try_first_pass nullok_secure

# pam_limits 让 /etc/security/limits.conf 生效
cat /etc/security/limits.conf
# *   soft  nofile  65535
# *   hard  nofile  65535
# @dev hard  nproc   4096

sudo apt install libpam-pwquality        # 提供 pam_pwquality.so

# /etc/security/pwquality.conf
minlen = 12              # 最小长度
dcredit = -1             # 至少 1 个数字
ucredit = -1             # 至少 1 个大写
lcredit = -1             # 至少 1 个小写
ocredit = -1             # 至少 1 个特殊字符
maxrepeat = 3            # 最多连续重复 3 次
minclass = 3             # 至少 3 类字符
dictcheck = 1            # 拒绝字典词

# /etc/pam.d/common-password 里启用
password requisite pam_pwquality.so retry=3
password [success=1 default=ignore] pam_unix.so sha512 shadow

# /etc/security/faillock.conf（较新写法，集中配置）
deny = 5                 # 连续失败 5 次锁定
unlock_time = 900        # 锁 900 秒
fail_interval = 900      # 统计窗口
even_deny_root           # root 也锁（慎用）

# /etc/pam.d/common-auth
auth required pam_faillock.so preauth      # 认证前检查是否锁定
auth [success=1 default=bad] pam_unix.so
auth [default=die] pam_faillock.so authfail # 失败记账
auth sufficient pam_faillock.so authsucc    # 成功则清零

# 查看/解锁被锁账户
faillock --user alice                 # 查看失败记录
faillock --user alice --reset         # 手动解锁

用户 主机=(以谁的身份) [NOPASSWD:] 命令

# /etc/sudoers
root    ALL=(ALL:ALL) ALL
%wheel  ALL=(ALL:ALL) ALL                 # wheel 组全员可 sudo
alice   ALL=(ALL) /usr/bin/systemctl restart nginx
bob     ALL=(postgres) NOPASSWD: /usr/bin/psql

# 用户别名
User_Alias ADMINS = alice, bob, %ops
# 主机别名
Host_Alias WEB = web1, web2
# 命令别名
Cmnd_Alias SVC = /usr/bin/systemctl restart nginx, /usr/bin/systemctl reload nginx
Cmnd_Alias NET = /usr/sbin/ip, /usr/sbin/ss, /usr/bin/ping

ADMINS  WEB=(root) SVC
ADMINS  ALL=(root) NET

# 推荐用 /etc/sudoers.d/ 分文件管理（Debian 需确认 include 已启用）
sudo visudo -f /etc/sudoers.d/ops
# 校验整个 sudoers
sudo visudo -c

# /etc/sudoers 的 Defaults 常用项
Defaults        env_reset                 # 清空危险环境变量
Defaults        secure_path="/usr/sbin:/usr/bin:/sbin:/bin"
Defaults        timestamp_timeout=5        # 免密窗口 5 分钟
Defaults        logfile="/var/log/sudo.log"
Defaults        log_input, log_output      # 记录输入输出（谨慎，占空间）
Defaults        passwd_tries=3
Defaults        use_pty                    # 强制伪终端，防提权绕过

# sudo 默认日志位置（视发行版）
journalctl -t sudo
grep sudo /var/log/auth.log
# 自定义日志文件
sudo tail -f /var/log/sudo.log

# 危险授权示例（等于给了 root shell，务必避免）
alice ALL=(ALL) /usr/bin/vi          ← vi 内 :!sh 直接拿 shell
alice ALL=(ALL) /usr/bin/find        ← find -exec /bin/sh 逃逸
alice ALL=(ALL) NOPASSWD: ALL        ← 等于无密码 root

sudo apt install libpam-google-authenticator
# 以目标用户身份初始化（生成密钥 + 二维码 + 恢复码）
google-authenticator --time-based --disallow-reuse --rate-limit=3

# 1) SSH 认证栈启用（/etc/pam.d/sshd）
auth required pam_google_authenticator.so nullok
# 2) sshd_config 开启挑战响应
#    KbdInteractiveAuthentication yes

# 3) 也可用于 sudo（/etc/pam.d/sudo）
auth required pam_google_authenticator.so

# 验证：登录时应先要验证码再要密码
ssh alice@host

# PAM 调试：临时加 debug 参数，看详细执行日志
# /etc/pam.d/sshd 里某行加 debug
auth required pam_unix.so debug
# 查看日志
journalctl -u sshd -f
tail -f /var/log/auth.log

# 语法校验 sudoers
sudo visudo -c
# 检查 PAM 配置文件是否引用了不存在的模块
ls /lib/*/security/pam_*.so

# 查看账户状态与密码策略
chage -l alice
faillock --user alice