Linux 用户管理

Linux用户管理

配置文件

用户信息文件：/etc/password

密码文件：/etc/shadow

用户组文件：/etc/group

用户组密码文件：/etc/gshadow

用户配置文件:/etc/login.defs

/etc/default/useradd

新用户信息文件:/etc/skel

登录信息：/etc/motd etc/issue

/etc/passwd文件格式

例如root:x:0:0:root:/root:/bin/bash

用户类型

Linux用户分为三种：

超级用户（root,UID=0）

普通用户（UID 500-60000）

伪用户（UID 1-499）

伪用户

1. 伪用户与系统和程序服务相关

bin,daemon,shutdown,halt等，任何linux系统默认都有这些伪用户

mail,news,games,apache,ftp,mysql及sshd等，与linux系统的进程相关

2. 伪用户通常不需要或无法登录系统

3. 可以没有宿主目录

用户组

每个用户都至少属于一个用户组

每个用户组可以包括多个用户

同一个用户组的用户享有该组共有的权限

/etc/shadow文件格式

/etc/shadow保持了真正的密码，把密码删除，则登录时无需输入密码

Pwunconv 把/etc/shadow 的密码转换到/etc/passwd里面去

Pwconv 把/etc/passwd的密码转换到/etc/shadow里面去

/etc/group文件格式

如：sys::3:root,bin,adm

手工添加用户

分别在/etc/passwd /etc/group和/etc/shadow文件中添加一笔记录

创建用户宿主目录

在用户宿主目录中设置默认的配置文件

设置用户初始密码

Setuid

思考：为什么普通用户可以更改密码？

Setuid的定义：当一个可执行程序具有setuid权限。用户执行这个程序时，将以这个程序所有者的身份执行。

Setuid=4 所有者

Chmod u+s u-s

Chmod 4755 755

Setgid=2 所属组

Chmod g+s g-s

Chmod 2755 755

2755

粘着位=1 其他人

t ，如果一个一个权限为777目录具有粘着位，每个用户都可以在这个目录下创建文件，但是只能删除自己是所有者的文件

chmod o+t o-t

chmod 1777 777

范例：1.将touch命令授权setuid权限

Which touch ls –l /bin/touch

Su – lisi touch file01 ls –l file01 chmod u+s /bin/touch

1. 当vi命令被授予setuid权限

2. 查找setuid程序

Find / -perm -4000 –o –perm -2000

添加用户

Useradd设置选项 用户名 –D 查看缺省参数

Useradd –D和cat /etc/default/useradd作用相同

u： UID 比如 useradd –u 888 newuser

g: 缺省所属用户组GID 比如 useradd –g webadmin newuser

G：指定用户所属多个组 比如 useradd –G sys,root newuser

d : 宿主目录

s : 命令解释器shell

c : 描述信息

e : 指定用户失效时间

passwd sam

手工添加用户

用户组管理命令

添加用户组 groupadd

groupadd –g 888 webadmin

创建用户组webadmin,其GID为888

删除用户组：groupdel组名

修改用户组信息groupmod

groupmod –n apache webadmin

修改webadmin组名为apache

用户组管理命令

gpasswd设置组密码及管理组内成员

gpasswd webadmin 给webadmin组设置密码

more /etc/gshadow 查看组配置文件 /etc/group查看组基本信息

-a 添加用户到用户组gpasswd –a tomgao root

-d 从用户组中删除用户

-A 设置用户组管理员gpasswd –A tomgao webadmin 让tomgao来管理webadmin组

-r 删除用户组密码 gpasswd –r 组名

-R 禁止用户切换为该组

Newgrp webadmin 是切换到wenadmin组的意思

Groups lisi 查看lisi隶属于哪个组

Id 查看各种id信息

修改用户信息

usermod

usermod –G softgroup samlee 将用户samlee添加到softgroup用户组中

usermod –l samlee –d /home/samlee –g lampbrother liming 将用户liming的登录名改为samlee，加入到lampbrother组中，用户目录改为/home/samlee

用户管理命令

pwck 检测/etc/passwd文件（锁定文件）

vipw 编辑/etc/passwd文件

vipw和vi的区别是vipw是专门编辑/etc/passwd的，它会锁定文件，一个用户编辑时其他用户不能编辑

Id 查看用户id和组信息

finger 查看用户详细信息

Su 切换用户（su –会环境变量切换，而su 不会）

passwd –d 清除用户密码

passwd –S 查看用户密码状态，比如检测某用户是否空密码或者密码锁定

passwd –l 锁定用户

passwd –uf 解锁用户

who,w 查看当前登录用户信息

groups 查看用户隶属于哪些用户组

newgrp 切换用户组

grpck 用户组配置文件检测

chgrp 修改文件所属组

vigr 编辑/etc/group文件（锁定文件）

用户组权限示例

授权用户jack和mary对目录/software有写权限

#groupadd softadm 建立组softadm

#usermod –G softadm jack 添加用户jack到组softadm

#gpasswd –a mary softadm 添加用户mary到组softadm

#chgrp softadm /software 改变目录/software的所属组为softadm

#chmod g+w /software 给目录添加g+w的权限

#ls –ld /software

Drwxrwxr-x 2 roor softadm 512jul 14 06:17 /software

#grep softadm /etc/group

Softadm::100:jack,mary

禁用和恢复用户

禁用

#usermod –L username

#passwd –l username

恢复

#usermod –U username

#passwd –u username

删除用户

userdel –r用户名

-r：删除用户目录

手工删除：

使用find命令查找属于某个用户或用户组的文件

find选项-user –uid –group –gid

1. 对需要保留的文件进行移动和备份

2. 对不需要的文件进行删除 find /home –user jack –ok rm {} \;

3. 清楚用户文件中的相关表项

4. 清楚用户宿主目录

用户管理命令

Chage 设定密码 (在unix里面没有这个命令)

-l 查看用户密码设置

-m 密码修改最小天数

-M 密码修改最大天数

-d 密码最后修改的日期

-I 密码过期后，锁定账户的天数

-E 设置密码的过期日期，如果为0，代表密码立即过期，如果为-1，代表密码永不过期

-W 设置密码过期前，开始警告的天数

启动或停用shadow功能

Pwconv/pwunconv

Grpconv/grpunconv

System-config-users

Authconfig /etc/sysconfig/authconfig

想让配置永久生效，编辑/etc/sysconfig/authconfig

批量添加用户

1.newusers命令 导入用户信息文件

cd /test

vi user.info

Brother01::1001:3::/home/brother01:/bin/bash

Brother02::1002:3::/home/brother02:/bin/bash

Brother03::1003:3::/home/brother03:/bin/bash

newusers < user.info

用tail -5 /etc/passwd

Ls /home查看

这种方法是把用户信息生成并创建宿主目录

2.pwunconv命令 取消shadow password功能

pwunconv

vi pass.info

brother01:lampbrother

brother02:lampbrother

brother03:lampbrother

3.chpasswd命令 导入密码文件（格式 用户名：密码）

chpasswd < pass.info

4.pwconv命令 将密码写入shadow文件

Pwconv

Tail -5 /etc/shadow

Su – brother01查看用户是可以使用的

还有一种方法就是通过写脚本，然后执行脚本批量添加

限制用户su为root（作用是防止其他用户切换到su猜密码）

#groupadd subgroup

#chmod 4550 /bin/su

#ls –l /bin/su

-r-sr-x--- l root 18360 Jan 15 2010 /bin/su

#chgrp subgroup /bin/su

#ls –l /bin/su

-r-sr-x--- l root subgroup 18360 Jan 15 2010 /bin/su

设定后，只有sugroup组中的用户可以使用su切换为root

#useradd helen

#passwd helen

#usermod –G subgroup helen

用sudo代替su:

在执行sudo命令时，临时成为root

不会泄露root口令

仅向用户提供有限的命令使用权限

配置文件：/etc/sudoers，编辑配置文件命令visudo，普通用户使用命令sudo

格式：用户名（组名） 主机地址=命令（绝对路径）

rpm –q sudo

visudo 编辑sudo配置文件

比如我想授权普通用户也可以添加用户，删除用户

则which useradd

Visudo

在里面加入 csdn1 helen=/usr/sbin/useradd,/usr/sbin/userdel

然后切换到普通用户csdn1 su – csdn1

Sudo /usr/sbin/useradd lampbrother 添加用户

普通用户使用 sudo –l可以查看他自身能执行什么命令

例子：比如一个apache服务器，要授权一个普通用户管理web应用，该如何设置权限

1. 该普通用户有权限能编辑apache配置文件

2. 使用apache启动脚本

3. 更加网页

1. 先找apache的安装包

Rpm –ql httpd | more

然后会看到是/etc/httpd/conf/httpd.conf

再看一下此文件权限 ls –l /etc/httpd/conf/httpd.conf

-rw-r—r—1 root root 33726 Apr 5 2010 /etc/httpd/conf/httpd.conf 看到只有root才有写权限

可以设置用户为配置用户所有者或者改变所属组，把用户加入组，授予组写权限，还有一种方法visudo 用户 地址=/bin/vi /etc/httpd/conf/httpd.conf

第三种方法示例 visudo

加入一行 csdn1 helen=/bin/vi /etc/httpd/conf/httpd.conf

Su – csdn1

Sudo –l

Sudo /bin/vi /etc/httpd/conf/httpd.conf

2.所有服务的启动脚本都放在/etc/rc.d/init.d/httpd下面

允许普通用户start reload fullstatus configtest

同一使用visudo 用户 地址=/etc/rc.d/init.d/httpd start, /etc/rc.d/init.d/httpd reload, /etc/rc.d/init.d/httpd fullstatus, /etc/rc.d/init.d/httpd configtest

使用sudo /etc/rc.d/init.d/httpd start来启动

3.grep documentroot /etc/httpd/conf/httpd.conf 可以查看网页的存放目录是/var/www/html

如果是单个用户改变所有者权限即可，如果是多个普通用户，把普通用户加入组，改变所属组权限

John the ripper应用

#tar –xzvf john-1.7.6.tar.gz

#cd john-1.7.6/run

#make

破解用户liming密码

#grep liming /etc/passwd>/test/liming.passwd

#grep liming /etc/shadow>/test/liming.shadow

#/test/john-1.6.6/run/unshadow/test/liming.passwd

/test/liming.shadow>/test/liming.john

#/test/john-1.6.6/run/john /test/liming.john

下载地址http://www.opendwall.com/john/