BASH: Checken Sie / etc / shadow ein, wenn das Benutzerkennwort gesperrt ist

Ziel: Überprüfen Sie, /etc/shadowob das Benutzerkennwort gesperrt ist, dh ob das erste Zeichen im zweiten Feld in / etc / shadow, das das Hash-Passwort des Benutzers enthält, ein Ausrufezeichen ('!') Ist.

Gewünschte Ausgabe: Eine Variable mit dem Namen $disabled'True' oder 'False'.

Benutzername ist in der $unameVariablen und ich mache so etwas:

disabled=`cat /etc/shadow |grep $uname |awk -F\: '{print$2}'`
# I now have the password and need one more pipe into the check for the character
# which is where I'm stuck. I would like to do like (in PHP syntax):
| VARIABLE=="!"?"True":"False"`

Dies ist ein Fragment eines Skripts, das von Cron mit Root-Berechtigungen ausgeführt wird, sodass auf alle gewünschten Informationen zugegriffen werden kann.

Warum nicht einfach alles mit awk machen?

awk -F: '/<username>/ {if(substr($2,1,1) == "!"){print "True"} else {print "False"}}' /etc/shadow

Analysieren Sie die shadowDatei nicht manuell

Das Parsen solcher Dateien ist fragil, wenn Sie nicht alle Eventualitäten berücksichtigen (z. B. werden deaktivierte Kennwörter häufig als einzelne verschlüsselt *; behandeln andere Lösungen dies?).

Darüber hinaus erfolgt die Authentifizierung möglicherweise nicht über shadow(sondern über NIS oder ldap oder wer weiß was). Es gibt Standardtools, die all dies für Sie erledigen. In diesem Fall passwd:

-S, --status Zeigt Kontostatusinformationen an. Die Statusinformationen bestehen aus 7 Feldern. Das erste Feld ist der Anmeldename des Benutzers. Das zweite Feld gibt an, ob das Benutzerkonto ein gesperrtes Kennwort (L), kein Kennwort (NP) oder ein verwendbares Kennwort (P) hat. Das dritte Feld gibt das Datum der letzten Passwortänderung an. Die nächsten vier Felder sind das Mindestalter, das Höchstalter, der Warnzeitraum und der Inaktivitätszeitraum für das Kennwort. Dieses Alter wird in Tagen ausgedrückt.

So passwd -S | cut -d ' ' -f 2erhalten Sie, was Sie brauchen. Ein einfaches Wenn / Dann übersetzt es in Ihre gewünschte Variable:

if [ "$(passwd -S "$USER" | cut -d ' ' -f 2)" = "P" ]
then
    disabled="False"
else
    disabled="True"
fi

Gleiches gilt für das Sperren des Passworts eines Benutzers. Dies erfolgt vorzugsweise über usermod( --lockOption) und nicht shadowmanuell.

U=$user LC_ALL=C awk -F: < /etc/shadow '
  $1 "" == ENVIRON["U"] {
    user_found = 1
    if ($2 ~ /^!/) {
      print "True"
      exit 0
    } else {
      print "False"
      exit 1
    }
  }
  END {
    if (!user_found) {
      print "False"
      print "User "ENVIRON["U"]" not found" > "/dev/stderr"
      exit 2
    }
  }'

$1 "" == ENVIRON["U"]vergleicht das erste Feld mit ENVIRON["U"]lexikalisch. Ohne das ""könnten die Felder numerisch verglichen werden, wenn sie wie Zahlen aussehen (was infdazu führt, dass sie mit INFoder Infinityzum Beispiel übereinstimmen ).

Ohne LC_ALL=C, da einige awkImplementierungen strcoll()für den ==lexikalischen Vergleich verwendet werden, könnte dies dazu führen, dass falsche Einträge auf Benutzernamen überprüft werden, die gleich sortiert sind.

Ein Benutzer ist gesperrt, wenn das Feld passwd die Zeichenfolge *LK*ist. Sie können dies jedoch nicht überprüfen, da /etc/shadowes aus Sicherheitsgründen nur von root gelesen werden kann.

Wenn Berechtigungen kein Problem darstellen, versuchen Sie Folgendes:

while IFS=: read USER PW REST; do 
    if [ "$USER" = "$uname" ]; then 
            if [ "$PW" = "*LK*" ]; then 
                    echo "$uname" Locked 
            fi 
    fi 
done < /etc/shadow 

Bearbeiten: IFS =: verschoben, um den Code zu vereinfachen