Início / unix / Perguntas / 773287
Accepted
tink
Asked: 2024-03-28 03:36:51 +0800 CST

É possível saber quando um usuário alterou sua senha?

  • 772

Ou para ver qual/etc/spwd.db usuário causou a alteração do aviso de segurança ?

security

1 respostas

  1. Best Answer

    No OpenBSD, você precisa iniciar a contabilidade do processo com o acctoncomando:

    touch /var/account/acct   # The file has to exist before accton
accton /var/account/acct

    Para ativar o Accton no momento da inicialização, use:

    rcctl enable accounting

    que se accounting=YESinstala /etc/rc.conf.local.

    De qualquer forma, agora que você ativou a contabilidade de processos, pode usar lastcommpara visualizar a lista de comandos executados e pesquisar processos nomeados passwde pwd_mkdb. A saída será mostrada ao contrário, onde os processos mais recentes são exibidos primeiro (de acordo com a hora de término, não a hora em que foram iniciados):

    $ lastcomm passwd pwd_mkdb
passwd[18349]                         -       root                             ttyC1      0.28 secs Thu Mar 28 11:02 (0:00:17.39)
pwd_mkdb[27720]                       -       root                             ttyC1      0.00 secs Thu Mar 28 11:02 (0:00:00.00)
passwd[58119]                         -F      aviro                            ttyC1      0.00 secs Thu Mar 28 11:02 (0:00:00.00)
passwd[1586]                          -       root                             ttyC0      0.22 secs Thu Mar 28 10:11 (0:00:10.02)
pwd_mkdb[27986]                       -       root                             ttyC0      0.00 secs Thu Mar 28 10:11 (0:00:00.00)
passwd[64663]                         -F      aviro                            ttyC0      0.00 secs Thu Mar 28 10:11 (0:00:00.00)

    Cada alteração de senha bem-sucedida mostrará no histórico pelo menos três processos (mais ou menos ao mesmo tempo, e também no mesmo tty:

    1. passwdprocesso de propriedade do root. Este comando deve ser executado com privilégios elevados, portanto, o arquivo executável tem o bit setuid definido, portanto, possui o uid efetivo do root.
    2. pwd_mkdbcomando também de propriedade do root. É autoexplicativo.
    3. E outro passwd, desta vez sob o usuário que alterou a senha como proprietário. Este é um processo que é bifurcado do passwdcomando original para verificar se a senha é forte o suficiente e transfere os privilégios de volta para o uid real. Isso é uma sorte, porque se não fosse por essa criança com poucos privilégios e com o uid original, você não teria como saber quem executou o comando. Este processo pode aparecer mais de uma vez, se o usuário fornecer uma senha que não atenda aos requisitos e tiver que fornecer uma senha diferente.
    • 2

relate perguntas