システムログインのテストを作成するにはどうすればよいですか？

bashコマンドを呼び出すPython CGIスクリプトを作成しました。ホストでのログインが成功するかどうかをテストする必要があります。

どうすればそのためのテストを書けますか？

たとえばbash、ホストに登録されているユーザーに対して特定のユーザー名とパスワードの組み合わせをテストするスクリプトを作成できますか？

PAMを使用するのが最適なソリューションです。小さなCコードを書くか、python-pamパッケージをインストールして、python-pamパッケージに付属するpythonスクリプトを使用できます。見る/usr/share/doc/python-pam/examples/pamtest.py

ユーザーがログインできるかどうかをテストする正しい方法は、実際にそのユーザーとしてログインすることです。

したがって、CGIスクリプトを使用expectしsuてパスワードを渡し、実行する必要があるコマンドを実行することをお勧めします。これを実行するexpectスクリプトのドラフトは次のとおりです（警告：完全にテストされておらず、私は期待に堪能ではありません）。ユーザー名、パスワード、およびコマンド（私が書いたbob、swordfishおよびsomecommand）を置き換えます。必ず正しく引用してください。

spawn "/bin/su" "bob"
expect "Password:"
send "swordfish\r"
expect "^\\$"
send "somecommand"
expect -re "^\\$"
send "exit\r"
expect eof

レイヤーを介してコマンドを本当に実行したくない場合はsu（たとえば、CGIプロセス自体が実行する必要があるため）、expectを使用してコマンドを実行trueし、戻りステータスが0であることを確認します。

別のアプローチは、PythonのPAMバインディングを通じて、アプリケーションで直接PAMを使用することです。

具体的には、「指定されたユーザー名とパスワードの組み合わせをホスト上の登録ユーザーに対してテストするbashスクリプトを作成することは可能ですか？」

はい。

#!/bin/bash
uid=`id -u`

if [ $uid -ne 0 ]; then 
    echo "You must be root to run this"
    exit 1
fi

if [ $# -lt 1 ]; then
    echo "You must supply a username to check - ($# supplied)"
    exit 1
fi

username=$1
salt=`grep $username /etc/shadow | awk -F: ' {print substr($2,4,8)}'`

if [ "$salt" != "" ]; then

        newpass=`openssl passwd -1 -salt $salt`
        grep $username  /etc/shadow | grep -q  $newpass && echo "Success" || echo "Failure"

fi

ここに引用されている「C」、「Python」のPAMソリューションがあります。perlも1つ入れます:-)

出典：http : //search.cpan.org/~nikip/Authen-PAM-0.16/PAM/FAQ.pod#1._Can_I_authenticate_a_user_non_interactively？

#!/usr/bin/perl

  use Authen::PAM;
  use POSIX qw(ttyname);

  $service = "login";
  $username = "foo";
  $password = "bar";
  $tty_name = ttyname(fileno(STDIN));

  sub my_conv_func {
    my @res;
    while ( @_ ) {
        my $code = shift;
        my $msg = shift;
        my $ans = "";

        $ans = $username if ($code == PAM_PROMPT_ECHO_ON() );
        $ans = $password if ($code == PAM_PROMPT_ECHO_OFF() );

        push @res, (PAM_SUCCESS(),$ans);
    }
    push @res, PAM_SUCCESS();
    return @res;
  }

  ref($pamh = new Authen::PAM($service, $username, \&my_conv_func)) ||
         die "Error code $pamh during PAM init!";

  $res = $pamh->pam_set_item(PAM_TTY(), $tty_name);
  $res = $pamh->pam_authenticate;
  print $pamh->pam_strerror($res),"\n" unless $res == PAM_SUCCESS();

rootアクセスがあり、md5パスワードを使用していて、パスワードを比較するだけの場合は、perl Crypt :: PasswdMD5モジュールを使用できます。/ etc / shadowからMD5ハッシュを取得し、$ 1 $を取り除き、残りの$で分割します。フィールド1 = Salt、フィールド2 =暗号化されたテキスト。次に、テキスト入力をCGIにハッシュし、それを暗号化されたテキストと比較して、ボブがあなたの叔父です。

#!/usr/bin/env perl

use Crypt::PasswdMD5;

my $user                = $ARGV[0];
my $plain               = $ARGV[1];
my $check               = qx{ grep $user /etc/shadow | cut -d: -f2 };
chomp($check);
my($salt,$md5txt)       = $check =~ m/\$1\$([^\$].+)\$(.*)$/;
my $pass                = unix_md5_crypt($plain, $salt);

if ( "$check" eq "$pass" ) {
        print "OK","\n";
} else {
        print "ERR","\n";
}

いくつか検索した後、スクリプトから使用できるこのCプログラムを作成しました

#include <stdlib.h>
#include <stdio.h>
#include <pwd.h>
#include <shadow.h>
#include <string.h>
#include <crypt.h>
#include <unistd.h>
#include <libgen.h>

int main(int argc, char **argv) {
    struct spwd *pwd;
    if (argc != 3) {
        printf("usage:\n\t%s [username] [password]\n", basename(argv[0]));
        return 1;
    } else if (getuid() == 0) {
        pwd = getspnam(argv[1]);
        return strcmp(crypt(argv[2], pwd->sp_pwdp), pwd->sp_pwdp);
    } else {
        printf("You need to be root\n");
        return 1;
    }
}

あなたはそれをコンパイルします：

gcc -Wall password_check.c /usr/lib/libcrypt.a -o check_passwd

次のように使用できます

sudo ./check_passwd <user> <password> && echo "success" || echo "failure"

PythonでCGIを使用していると述べたので、httpdサーバーとしてApacheを使用していると想定するのがおそらく適切です。その場合は、プログラムの認証プロセスをApacheに任せ、認証された人だけがcgiスクリプト/プログラムを実行できるようにします。

Apacheで認証を実行できる十分なモジュールがありますが、それは実際にはどのような認証メカニズムを探しているかによって異なります。質問で引用した方法は、/ etc / passwd、shadowファイルに基づくローカルホストアカウント認証に関連しているようです。これに関する私のクイック検索に来るモジュールはmod_auth_shadowです。利点は、権限のあるユーザー（特権ポート80で実行）がユーザー/パスワードを認証できるようにし、ユーザーの認証情報に依存して、必要に応じてユーザーの代わりにコマンドを実行できることです。

開始するための良いリンク：

http://adam.shand.net/archives/2008/apache_tips_and_tricks/#index5h2

http://mod-auth-shadow.sourceforge.net/

http://www.howtoforge.com/apache_mod_auth_shadow_debian_ubuntu

別のアプローチは、認証済みユーザーに代わってプロセス（cgiプログラム）を実行するApacheのSuEXEcモジュールを使用することです。

PAMを使用するこのコードは私のために働きました：

#include <security/pam_appl.h>
#include <security/pam_misc.h>
#include <stdio.h>
#include <string.h>

// Define custom PAM conversation function
int custom_converation(int num_msg, const struct pam_message** msg, struct pam_response** resp, void* appdata_ptr)
{
    // Provide password for the PAM conversation response that was passed into appdata_ptr
    struct pam_response* reply = (struct pam_response* )malloc(sizeof(struct pam_response));
    reply[0].resp = (char*)appdata_ptr;
    reply[0].resp_retcode = 0;

    *resp = reply;

    return PAM_SUCCESS;
}

int main (int argc, char* argv[]) 
{
    if (argc > 2)
    {
        // Set up a custom PAM conversation passing in authentication password
        char* password = (char*)malloc(strlen(argv[2]) + 1);
        strcpy(password, argv[2]);        
        struct pam_conv pamc = { custom_converation, password };
        pam_handle_t* pamh; 
        int retval;

        // Start PAM - just associate with something simple like the "whoami" command
        if ((retval = pam_start("whoami", argv[1], &pamc, &pamh)) == PAM_SUCCESS)
        {
            // Authenticate the user
            if ((retval = pam_authenticate(pamh, 0)) == PAM_SUCCESS) 
                fprintf(stdout, "OK\n"); 
            else 
                fprintf(stderr, "FAIL: pam_authentication failed.\n"); 

            // All done
            pam_end(pamh, 0); 
            return retval; 
        }
        else
        {
            fprintf(stderr, "FAIL: pam_start failed.\n"); 
            return retval;
        }
    }

    fprintf(stderr, "FAIL: expected two arguments for user name and password.\n"); 
    return 1; 
}

ホストにログインするためのスクリプトが必要な場合にできる最善のことは、ホスト間にsshキーを構成することです。

リンク： http //pkeck.myweb.uga.edu/ssh/

私はこれをページからかなり持ち上げました

まず、2つのUNIXマシンにhurlyとburlyのOpenSSHをインストールします。これは、私が知る限り、デフォルトでDSAキーとSSH2を使用して最適に機能します。私が見た他のすべてのHOWTOは、RSA鍵とSSH1を扱っているようであり、その指示は、SSH2で動作しないことは驚くに値しません。各マシンでssh somemachine.example.comと入力し、通常のパスワードで接続します。これにより、ホームディレクトリに適切な権限を持つ.sshディレクトリが作成されます。秘密鍵を有効にしておく（プライマリーマシンで）、次のように入力します。

ssh-keygen -t dsa

これにより、秘密のパスフレーズの入力が求められます。これがプライマリIDキーである場合は、適切なパスフレーズを使用してください。これが正しく機能する場合、.sshディレクトリにid_dsaおよびid_dsa.pubという2つのファイルが作成されます。注：パスフレーズの入力を求められたら、Enterキーを押すだけで、パスフレーズのないキーが作成されます。これはIDキーのBad Idea™であるため、行わないでください。パスフレーズなしのキーの使用については、以下を参照してください。

scp ~/.ssh/id_dsa.pub burly:.ssh/authorized_keys2

id_dsa.pubファイルを、authorized_keys2という名前で他のホストの.sshディレクトリにコピーします。これで、burlyはsshキーを受け入れる準備ができました。どのキーを使用するかをどのように伝えるか？ssh-addコマンドがそれを行います。テストの場合は、次のように入力します

ssh-agent sh -c 'ssh-add < /dev/null && bash'

これにより、ssh-agentが起動し、デフォルトのIDが追加され（パスフレーズの入力を求められます）、bashシェルが生成されます。この新しいシェルから、次のことができるはずです。

ssh burly

ログインできるはずです