文档教程【免费下载链接】linux-commandLinux命令大全搜索工具内容包含Linux命令手册、详解、学习、搜集。https://git.io/linux项目地址https://gitcode.com/GitHub_Trending/linux/linux-command点击查看免费下载本篇指南围绕 Linux 系统中的pwconv命令展开深入讲解投影密码影子密码机制的原理、启用与关闭流程、/etc/shadow与/etc/gshadow文件格式并结合pwunconv、grpconv、grpunconv、pwck、grpck等配套命令给出完整的实战操作方案。读完本文你将掌握 Linux 用户与群组密码从明文走向加密隔离的完整链路以及影子密码文件损坏时的校验与修复方法。什么是投影密码影子密码在 Linux 系统中用户与群组的基本信息分别存放在/etc/passwd和/etc/group两个文件中。由于系统运行需要读取用户信息如登录校验、文件属主解析等这两个文件必须对系统中所有进程开放读取权限任何人都可以查看其内容。这就造成了严重的安全破绽若密码直接存放在这些世界可读的文件中任何能接触到系统的用户都能看到密文甚至明文密码。投影密码Shadow Password机制正是为解决这一破绽而设计它把密码从世界可读的passwd/group文件中剥离改存到仅允许系统管理者root读取的/etc/shadow和/etc/gshadow文件中同时在原文件中将密码字段替换为字符x从而有效强化系统的安全性。pwconv命令password convert 的缩写就是用来开启用户投影密码的工具它属于 shadow-utils 工具集的一部分与仓库中的 pwunconv关闭投影密码、grpconv开启群组投影密码、grpunconv关闭群组投影密码共同构成完整的影子密码转换体系。pwconv 命令语法pwconv命令语法非常简单执行时不需要任何参数pwconv需要注意的是开启影子密码会改写系统关键的认证文件因此必须以 root 权限执行例如通过sudo pwconv。运行过程大致如下读取/etc/passwd与现有的/etc/shadow将passwd中的密码字段迁移到shadow文件将passwd中对应字段替换为x设置shadow文件权限仅允许 root 读写。实例演示开启用户投影密码下面通过仓库 pwconv 文档中的完整示例演示整个迁移过程。首先查看某个测试用户test在/etc/passwd中的记录cat /etc/passwd | grep test test:x:3001:3001::/home/test:/bin/sh此时可以发现密码段已经显示为x说明该系统的影子密码已处于开启状态真正的密码密文存放在/etc/shadow中cat /etc/shadow | grep test test:$6$nYOEWamm$bz07nlv/.RgJufb3FAqJJeULfwybzgxmrWqbk7O4vI0KsT6N.ujrh6dDIUcAJdfjksyuyAFDPIngZeD3cgcf.0:15022:0:99999:7:::可以看到/etc/shadow中test用户记录中的密码字段是一串以$6$开头的密文这是 SHA-512 加密算法的标志$1$为 MD5$5$为 SHA-256。/etc/shadow文件默认权限为 000 或 600仅 root 可读普通用户无法查看任何用户的密码密文。在未开启影子密码的系统上使用 pwconv如果你的系统尚未启用影子密码/etc/passwd中会直接显示密码密文例如test:$6$nYOEWamm$bz07nlv/.RgJufb3FAqJJeULfwybzgxmrWqbk7O4vI0KsT6N.ujrh6dDIUcAJdfjksyuyAFDPIngZeD3cgcf.0:3001:3001::/home/test:/bin/sh此时执行sudo pwconv密码密文会被迁移到/etc/shadow而/etc/passwd中的密码段则被替换为xsudo pwconv cat /etc/passwd | grep test test:x:3001:3001::/home/test:/bin/sh/etc/shadow 文件格式详解/etc/shadow中的每一行对应一个用户字段之间用冒号:分隔共 9 个字段。以仓库 passwd 文档中的字段说明为参考结合上文示例展开字段位置含义示例值1用户名login nametest2加密后的密码不可逆$6$表示 SHA-512$6$nYOEWamm$bz07nlv/...3最近一次修改密码的日期自 1970-01-01 起的天数150224密码最短使用期限多少天内不可再改05密码最长使用期限多少天后必须修改999996密码过期前多少天开始提醒用户77密码过期后多少天禁用该账户空8账户失效日期自 1970-01-01 起的天数为空表示永不过期空9保留字段空对于需要长期管理的场景管理员可借助chage、passwd -S等命令查看和调整这些策略字段而无须直接编辑shadow文件。反向操作pwunconv 关闭投影密码pwunconv命令与pwconv功能相反用于关闭用户的投影密码它会把密码从shadow文件内重新存回passwd文件中。参见仓库 pwunconv 文档中的完整示例pwunconv # 关闭影子密码 cat /etc/passwd | grep test # 发现密码已经在passwd文件中了 test:$6$nYOEWamm$bz07nlv/.RgJufb3FAqJJeULfwybzgxmrWqbk7O4vI0KsT6N.ujrh6dDIUcAJdfjksyuyAFDPIngZeD3cgcf.0:3001:3001::/home/test:/bin/sh ls /etc/shadow # 查看影子文件提示没有这个文件或目录 ls: cannot access /etc/shadow: No such file or directory执行后shadow文件被移除密码密文重新暴露在/etc/passwd中。由于该文件世界可读任何用户都能读取密码密文这为离线暴力破解提供了素材。在正式生产环境中强烈建议保持影子密码开启状态仅在系统迁移或排障等特殊场景下临时执行pwunconv操作完成后应立即重新执行pwconv恢复。群组的投影密码grpconv 与 grpunconv与用户密码类似群组也有对应的影子密码机制。/etc/group与/etc/gshadow是群组信息的两个文件参见仓库 passwd 文档的知识扩展部分。grpconv 用于开启群组投影密码将/etc/group中的密码迁移到/etc/gshadow。实例为群组设置密码并开启影子机制首先使用groupmod为群组cdy设置一个测试密码参见仓库 groupmod 文档-p选项用于设置组密码groupmod --password 123456 cdy cat /etc/group | grep cdy cdy:123456:1000: # 看出密码是123456执行grpconv启动影子系统后密码从/etc/group迁移至/etc/gshadowgrpconv cat /etc/group | grep cdy cdy:x:1000: # 看出密码段已经被x替代 cat /etc/gshadow | grep cdy cdy:123456:: # 已经移到影子文件了注意gshadow、shadow文件只有 root 权限才可以查看这正是投影密码机制的安全核心。关闭群组投影密码grpunconvgrpunconv 命令会把密码从gshadow文件内回存到group文件里。未关闭前密码位于影子文件cat /etc/gshadow | grep cdy cdy:123456::关闭影子密码后/etc/gshadow文件被移除密码复制回/etc/groupcat /etc/gshadow cat: /etc/gshadow: 没有那个文件或目录 cat /etc/group | grep cdy cdy:123456:1000:影子密码文件的完整性校验pwck 与 grpck影子密码机制让认证信息分散在passwd/shadow用户与group/gshadow群组两组文件中一旦文件被误编辑或部分损坏可能导致登录异常。此时可以使用校验命令进行检查。pwck验证用户认证文件pwck 命令用来验证系统认证文件/etc/passwd和/etc/shadow的内容和格式的完整性语法为pwck(选项)(参数)常用选项-q仅报告错误信息-s以用户 id 排序文件/etc/passwd和/etc/shadow-r只读方式运行指令-R在指定的 chroot 环境下检查密码文件。参数方面可指定密码文件与影子文件的路径不指定时默认检查/etc/passwd与/etc/shadow。执行示例pwck user ftp: directory /var/ftp does not exist pwck: no changespwck会检查每条记录是否包含足够字段、用户名是否唯一、密码字段格式是否正确、用户主目录是否存在等。对于提示主目录不存在这类问题可采取三种处理方式如果确定这些用户不会被使用可以使用userdel命令删除这些用户如果这些用户需要被使用应创建相应目录并修正属主# 创建目录 sudo mkdir /var/ftp # 将目录的所有权赋给相应的用户 sudo chown ftp:ftp /var/ftp如果这些用户对应的软件包还未安装可以安装它们软件包管理器如yum或apt通常会自动创建必要的用户和目录。grpck验证组文件完整性grpck 命令用于验证组文件的完整性在验证之前会先锁定lock组文件/etc/group和/etc/gshadow。它检查数据是否正确存放、每条记录是否包含足够的信息、是否拥有唯一的组名、是否包含正确的用户、是否正确设置组的管理员等。若发现错误会在命令行提示用户是否删除错误记录如果用户没有明确回答删除记录grpck会终止运行。常用选项-r只读模式-s排序组 id。验证示例必须管理员身份运行无输出即无错误grpck # 必须以管理员身份运行 grpck /etc/group /etc/gshadow # 显式指定组文件与影子文件错误处理示例若group文件被追加了 GID 为空的错误行check_user:x:grpck会提示并询问是否删除grpck /etc/group invalid group file entry delete line check_user:x:? y # 提示是否删除 grpck: the files have been updated # 已经删除了错误的行文件已更新 cat /etc/group | grep check_user # 没有查到已经删除与影子密码配套的密码管理工具理解pwconv后将其与仓库中其他认证工具配合使用可以构建完整的密码管理闭环passwd设置与修改用户密码含-l锁定、-u解锁、-d删除密码、-S查看状态等并给出了/etc/passwd、/etc/shadow、/etc/group、/etc/gshadow四个文件逐字段的解析说明是理解影子密码机制的基础文档。chpasswd批量更新用户口令把username:password格式的文件内容重定向写入/etc/shadow适合批量初始化用户密码的场景-e选项可指定输入为加密后的密文-m选项在密码未加密时改用 MD5 代替 DES。groupmod通过修改组数据库/etc/group与/etc/gshadow的相应条目来更改组定义其中-p选项用于设置组密码crypt 加密后的密文。gpasswd工作组文件/etc/group和/etc/gshadow的管理工具支持-a添加用户到组、-A指定组管理员、-r删除组密码、-R限制非成员登入组等操作也是groupmod在部分发行版上缺少-a/-U选项时的替代方案。安全实践建议基于上述机制在生产环境中建议遵循以下实践保持影子密码开启通过cat /etc/passwd检查密码段是否为x若显示密文则执行sudo pwconv恢复对群组执行sudo grpconv。保护影子文件权限确认/etc/shadow与/etc/gshadow的权限仅为 root 可读写通常为 000 或 600这是投影密码机制安全性的物理保障。定期校验文件完整性将pwck与grpck纳入例行巡检脚本在批量修改用户、导入账户或系统迁移后立即执行。避免明文密码使用passwd、chpasswd设置密码时应使用加密方式传输与存储配合-e选项传入已加密密文。谨慎使用反向转换pwunconv与grpunconv只在排障等必要场景下临时使用完成后立即恢复。总结pwconv是 Linux 影子密码机制的核心入口它把用户密码从世界可读的/etc/passwd迁移到仅 root 可读的/etc/shadow与pwunconv、grpconv、grpunconv组成完整的双向转换工具链。结合pwck、grpck的完整性校验以及passwd、chpasswd、groupmod、gpasswd等配套命令管理员可以系统性地保障用户与群组认证信息的安全性与一致性。本文全部实例与字段说明均可在仓库 command 目录下对应的独立文档中进一步查阅原文。赞分享文档教程【免费下载链接】linux-commandLinux命令大全搜索工具内容包含Linux命令手册、详解、学习、搜集。https://git.io/linux项目地址https://gitcode.com/GitHub_Trending/linux/linux-command点击查看免费下载相关推荐grpconv 命令详解Linux 群组投影密码影子密码实战指南grpconv 命令详解Linux 群组投影密码影子密码实战指南 grpconv 是 Linux 系统安全管理中的关键命令用于开启群组投影密码影子密码文档教程Linux 影子密码关闭详解pwunconv 命令原理与实战linux-command 项目Linux 影子密码关闭详解pwunconv 命令原理与实战linux command 项目 导读 本文围绕 linux command 开源仓库中收录的文档教程StarRocks SET PASSWORD 详解用户登录密码修改命令与认证机制剖析StarRocks SET PASSWORD 详解用户登录密码修改命令与认证机制剖析 SET PASSWORD 是 StarRocks 中用于修改用户登录密码数据库OLAP数据仓库大数据湖仓一体数据分析创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考