基于PAM的用户权能分配

这篇报告实际上是OS安全的一个小作业，放上来感觉可能会对未来的学弟学妹有所帮助。

基于PAM用户权限设置系统

PAM简要介绍

PAM，全称Pluggable Authentication Modules for Linux，即Linux下的可拔插验证模块，可以允许系统管理员选择应用验证用户的方式。

早期，如果一个应用需要验证一个用户，需要在编译层面上加入特殊的验证机制。而传统的UNIX系统验证用户身份的方式是让用户输入一个正确的密码。这个密码，在经过加盐处理后，进行加密。然后如果这个加密的密码与系统密码数据库相同，用户就通过认证了。在这样的系统中，不是所有的权限都是按这种单一的验证机制来授予，大部分是通过组机制来授予的。

Linux-PAM的目的是将权限授予软件的开发与合适验证方案的开发分开来。应用通过使用PAM的库函数来实现用户认证机制。PAM的设置通常在/etc/pam.d/路径下，原理图如下。

  +----------------+
  | application: X |
  +----------------+       /  +----------+     +================+
  | authentication-[---->--\--] Linux-   |--<--| PAM config file|
  |       +        [----<--/--]   PAM    |     |================|
  |[conversation()][--+    \  |          |     | X auth .. a.so |
  +----------------+  |    /  +-n--n-----+     | X auth .. b.so |
  |                |  |       __|  |           |           _____/
  |  service user  |  A      |     |           |____,-----'
  |                |  |      V     A
  +----------------+  +------|-----|---------+ -----+------+
                         +---u-----u----+    |      |      |
                         |   auth....   |--[ a ]--[ b ]--[ c ]
                         +--------------+
                         |   acct....   |--[ b ]--[ d ]
                         +--------------+
                         |   password   |--[ b ]--[ c ]
                         +--------------+
                         |   session    |--[ e ]--[ c ]
                         +--------------+

使用PAM的方式就是在设置下添加相应的规则。PAM设置语法如下：

service type control module-path module-arguments

• service：表示服务的名字，比如telnet，login，ftp等。
• type：表示四种模块类型，有auth、account、open_session、close_session、password。
• control：用来告诉PAM库该如何处理与该服务相关的PAM模块的成功或失败的情况，有四个可能的值：required、requisite、sufficient、optional。
• module-path：表示用来指明本模块对应的程序文件的路径名，一般采用绝对路径。
• module-arguments：传递给该模块的参数

具体的说明可以查看PAM手册。

配置实验

1. 创建一个testping用户

以root权限清除ping命令的setuid位和各种权能

setcap -r /bin/ping
chmod u-s /bin/ping

切换到userping用户，并进行ping操作，发现无法ping成功。

切换到iskindar用户，同样进行ping操作，仍然无法成功

在/usr/local/bin/目录下新建ping_cap.sh脚本文件，实现功能：当userping用户登录时，给/bin/ping添加权能

#!/bin/sh
[ "$PAM_TYPE" == "open_session" ] || exit 0

if [ "$PAM_USER" == "testping" ]; then
	setcap cap_net_raw=eip /bin/ping
	echo "SUCCESS"
else
	setcap -r /bin/ping
	echo "Clear Capabilities"
fi

chmod u+x /usr/loca/bin/ping_cap.sh

由于所有登录都是使用common-session模块

在/etc/pam.d/common-session文件中添加如下规则：

vim /etc/pam.d/common-session

session  optional  pam_exec.so debug log=/tmp/pam_exec.log seteuid /usr/local/bin/ping_cap.sh

pam_exec是PAM的一个可以使用外部命令的模块。

• session：在用户登陆前把事情给干完，比如挂载目录、记录一些关键信息等
• optional：可选的，一般不会对身份认证起作用。这里是为了防止脚本赋权失败导致用户无法登录。
• debug：打印debug信息
• log=/tmp/pam_exec.log：命令的打印信息会打印到这个文件
• seteuid: pam_exec.so会用真实用户ID执行外部命令。
• /usr/local/bin/ping_cap.sh：外部命令

切换到userping用户，使用ping命令，这次就可以ping通了。

切换到iskindar用户，会发现仍然无法ping

查看pam_exec的日志，发现刚刚切换用户时的日志信息都成功打印了。

实验总结

本实验参考了网上挺多的博客，取长补短，解决了其userping用户退出会影响其他用户对ping的使用的缺点。这次实验基于PAM来设置用户权限。利用了PAM的pam_exec模块来执行外部命令，进而为userping用户赋予允许使用原生套接字的权能，从而来userping用户能够使用ping命令。当userping用户退出时，切换到别的用户时，会自动执行清除/bin/ping的权能，从而避免不该使用ping命令的用户执行ping。值得注意的是，这个外部命令的权限很大，能够赋予userping权能，但对于userping来说是可执行、不可读和不可写的状态，也避免了userping用户利用这个外部命令滥用权力。

遇到的两个小问题

1.执行脚本文件出现错误：

[: missing ]

这里是语法错误，中括号需要和前面的字符空一个空格。

错误代码：

[ "$PAM_TYPE" == "open_session"] || exit 0

在session的引号后面加个空格：

[ "$PAM_TYPE" == "open_session" ] || exit 0

2.执行脚本文件时出现以下错误：

[: XXXX: unexpected operator

原因：ubuntu默认的sh是dash，dash跟bash不兼容导致出错。

解决方法：将ubuntu解释器修改默认连接到bash

输入命令：

sudo dpkg-reconfigure dash

弹出一个窗口，选择NO即可。

参考资料

• PAM手册

• Linux权能与PAM机制

• 基于PAM的用户认证

• Capability手册

• PAM入门介绍