无法使用自定义 pam 模块走私用户名中的数据 - input_userauth_request：无效用户

Question 1

input_userauth_request() 是 sshd 中的一个函数，它提示输入用户名。

来回阅读有关pam_ldap（本地系统不一定知道正在验证的用户名）当未安装或未配置 LDAP NSS 库时，会弹出“sshd[xxx]: input_userauth_request: invalid user ...”消息。由此我推断 sshd 在移交给 PAM 之前首先尝试验证用户名（WTF？）。因此，为了避免这个初始错误，我需要编写一个 NSS 模块（大概实现 getpwnam() 但我希望我必须拆开 sshd 才能找出它是如何工作的）。

呃！

（而且我仍然不相信这会解决问题）

Answer

input_userauth_request() 是 sshd 中的一个函数，它提示输入用户名。

来回阅读有关pam_ldap（本地系统不一定知道正在验证的用户名）当未安装或未配置 LDAP NSS 库时，会弹出“sshd[xxx]: input_userauth_request: invalid user ...”消息。由此我推断 sshd 在移交给 PAM 之前首先尝试验证用户名（WTF？）。因此，为了避免这个初始错误，我需要编写一个 NSS 模块（大概实现 getpwnam() 但我希望我必须拆开 sshd 才能找出它是如何工作的）。

呃！

（而且我仍然不相信这会解决问题）

Question 2

老线程，但我想整理一个完整的答案。

我有类似的需求，我几乎使用了这里提到的内容并将解决方案缝合在一起。

libnss-ato- 这是必要的，以便仍然允许不存在的用户（我之前也使用过这个）
我创建了一个简单的 PAM 模块（主要是返回的虚拟函数PAM_SUCCESS），但以下内容除外：


      static char*
      _find_base_user (const char *user)
      {
        char        *p             = NULL;
        static char  user_base[64] = {0};

        if ((p = strchr(user, '@'))) {
            memset(user_base, 0, 64);
            strncpy(user_base, user, (int)(p - user));
            return user_base;
        }

        return NULL;
      }

      int
      pam_sm_authenticate (pam_handle_t  *pamh,
                          int            flags,
                          int            argc,
                          const char   **argv)
      {
        int         ret      = 0;
        const char *user;
        char       *user_pfx = NULL;

        ret = pam_get_user(pamh, &user, NULL);
        if (ret != PAM_SUCCESS || user == NULL) {
            pam_syslog(pamh, LOG_ERR, "no user specified");
        } else {
            pam_syslog(pamh, LOG_DEBUG, "user = %s", user);
        }
        user_pfx = _find_base_user(user);
        if (user_pfx) {
            pam_syslog(pamh, LOG_DEBUG, "user base name: %s", user_pfx);
        } else {
            pam_syslog(pamh, LOG_ERR, "no separator in user name found");
            return PAM_SUCCESS;
        }

        ret = pam_set_item(pamh, PAM_USER, (const void *)user_pfx);
        if (ret!= PAM_SUCCESS) {
            pam_syslog(pamh, LOG_ERR, "user resetting failed");
            return PAM_USER_UNKNOWN;
        }

        return PAM_SUCCESS;
    }

让我们称之为这个pam_changeuser.so，现在我将其添加到我的 PAM 堆栈的顶部（第一个模块）

 auth required pam_changeuser.so

有了这个，我能够走私一些附加数据与用户名！

希望这对某人有帮助。

--

Answer