Password vide

トップ ページ

このメッセージに返信
著者: Olivier Allard-Jacquin
日付:  
To: Guilde Mailing list
題目: Password vide
    Bonjour,

    je voudrais créer sur ma machine un utilisateur (disons "toto") ayant 
un shell tout ce qu'il a de plus valide (c'est pour lancer des 
compilations, et autres trucs de ce genre), mais dont le mot de passe 
serait introuvable. Oui, introuvable, quelque soit l'attaque par le plus 
gros des dictionnaires par exemple...


    L'idée serait que pour se logguer en temps que cet utilisateur, il 
faille d'abord se logguer en temps que root, puis fait un "su toto", vu 
que "su" ne demandera pas de mot de passe.


    J'ai pensé initialement a donner à cet utilisateur un mot de passé 
généré à partir de l'extrait d'un "echo /dev/random" (un mot de passe de 
type "ÑæuÛ0?}µ¥ÿ)·3³A", bien bien immonde à écrire), mais il me semble 
qu'il y a plus simple.


      J'ai remarqué que lorsque l'on crée un utilisateur ("adduser toto"), 
le /etc/shadow contenant ceci :


[root@phoenix /]# grep toto /etc/shadow
toto:!!:12392:0:99999:7:::

    Ce "!!" devrait normalement contenir le mot de passe sous formé crypté 
comme par exemple "$1$T*M6SETdLzV3AlPcGbHzmtBm5bf15P6". Mais cette 
syntaxe toute simple de "!!" ne veut elle pas dire que le mot de passe 
est de toute manière invalide ? Et que quelque soit le mot de passe 
rentré par l'utilisateur, celui-ci sera faux ?


    Auquel cas, il n'est pas nécessaire de donner un mot de passe à cet 
utilisateur, cette simple syntaxe me garantie que seul le root pourra se 
connecter en temps que "toto".


    Hummm, si par contre ce n'est pas le cas, je peux d'ors et déjà 
m'inquiéter, car je n'ai pas moins de 14 utilisateurs(*) sur ma machine 
qui ont des passwords en "!!" dans le "/etc/shadows" !!!


(*) : Des utilisateurs lançant des démons en fait

    Je précise que je n'ai pas trouvé cette info, et que les "man shadow" 
et "man passwd" sont muets sur ce problème... :=(


    Merci d'avance de vos avis, et bon dimanche à tous !


                        Olivier


-- 
~~~~~~~  _____/\_____  ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Phoenix /   _ \/ _   \    Olivier Allard-Jacquin
       /   / \  / \   \   Web:  olivieraj.free.fr
      /___/  /  \  \___\  Mail: olivieraj@???
~~~~ /////  ///\\\  \\\\\ ~~~~~~~~~~~~~~~~~~~~~~~ Linux Powered !!