8. LINUX 用户和组

8.1 密码文件：/etc/passwd

在类 Unix 系统中，/etc/passwd 文件是用户账户信息的核心存储位置。每个用户账户在该文件中占据一行，每行包含 7 个字段，字段之间用冒号（:）分隔。以下是这 7 个字段的详细解释：

1. 登录名（Login Name）

• 描述：这是用户登录系统时必须输入的唯一名称，也称为用户名。它是人类可读的符号标识符，对应于数字用户 ID（UID）。
• 作用：用于标识用户账户。当使用 ls -l 等命令显示文件的所有权时，会显示登录名而不是数值型用户 ID。

2. 经过加密的密码（Encrypted Password）

• 描述：该字段通常包含经过加密处理的密码。传统的加密算法是 DES（数据加密标准），生成的加密字符串长度为 13 个字符。现代系统通常使用更安全的算法，如 MD5、SHA-256 或 SHA-512，生成的消息摘要长度不同（例如，MD5 生成的加密字符串长度为 34 个字符）。
• 特殊值：
  • x：如果启用了 shadow 密码机制（这是现代系统的常规做法），该字段通常包含字母 x，表示加密后的密码实际存储在 /etc/shadow 文件中。
  • 空字符串：如果该字段为空，表示该账户无需密码即可登录。
  • 其他非空字符串：如果该字段包含任何其他字符串（特别是长度超过 13 个字符的字符串），则禁止该账户登录，因为这些字符串不能代表有效的加密密码。

3. 用户 ID（User ID, UID）

• 描述：用户的数值型 ID。每个用户在系统中都有一个唯一的 UID。
• 特权用户：UID 为 0 的用户具有超级用户权限，通常是 root 账户。
• 历史背景：
  • 在 Linux 2.2 及更早版本中，UID 是 16 位值，范围为 0～65535。
  • 从 Linux 2.4 开始，UID 使用 32 位值，支持更多的用户数。
• 多记录用户：虽然不常见，但允许同一用户 ID 拥有多条记录，从而使得同一用户 ID 可以拥有多个登录名。这样，多个用户可以使用不同的密码访问相同的资源，并且可以关联不同的组 ID。

4. 组 ID（Group ID, GID）

• 描述：用户所属的首选组（主要组）的数值型 ID。
• 作用：确定用户的主要组，影响文件和目录的权限设置。关于用户与组之间的从属关系，更多信息可以在 /etc/group 文件中找到。

5. 注释（GECOS 字段）

• 描述：该字段存放关于用户的描述性文字，通常包括用户的全名、办公室位置、电话号码等信息。
• 用途：用于提供用户的额外信息。例如，finger 命令会显示此信息。

6. 主目录（Home Directory）

• 描述：用户登录后所处的初始路径。该字段的内容会被设置为 HOME 环境变量。
• 作用：指定用户的个人工作空间，通常包含用户的配置文件、文档等。

7. 登录 Shell（Login Shell）

• 描述：用户登录后启动的程序。通常是某种 shell（如 bash、zsh 等），但也可能是其他程序。
• 默认值：如果该字段为空，默认的登录 shell 是 /bin/sh（Bourne shell）。
• 作用：指定用户登录后使用的命令解释器或其他程序。该字段的内容会被设置为 SHELL 环境变量。

8. Shadow 密码机制

• 描述：为了提高安全性，现代系统通常启用 shadow 密码机制。在这种情况下，/etc/passwd 文件中的密码字段仅包含一个占位符（如 x），而实际的加密密码存储在 /etc/shadow 文件中。
• 优点：/etc/shadow 文件只有超级用户（root）可以读取，因此即使普通用户可以读取 /etc/passwd 文件，也无法看到加密后的密码，从而减少了密码被破解的风险。

9. 网络环境中的密码管理

• NIS（网络信息系统）和 LDAP（轻型目录访问协议）：在分布式环境中，密码信息可能通过 NIS 或 LDAP 进行分发。这些系统允许将密码信息存储在远程服务器上，本地系统通过网络获取这些信息。
• 透明性：只要应用程序使用标准的用户信息查询函数（如 getpwnam()、getpwuid() 等），无论是使用 NIS、LDAP 还是本地文件，对应用程序来说都是透明的。

10. 示例

以下是一个典型的 /etc/passwd 文件的示例行：

john:x:1001:1001:John Doe,,,:/home/john:/bin/bash

• john：登录名
• x：占位符，表示加密密码存储在 /etc/shadow 中
• 1001：用户 ID（UID）
• 1001：组 ID（GID）
• John Doe,,,：注释字段，包含用户的全名和其他信息
• /home/john：主目录
• /bin/bash：登录 Shell

11. 总结

• /etc/passwd：存储用户账户的基本信息，包括登录名、用户 ID、组 ID、主目录和登录 Shell 等。
• Shadow 密码机制：为了提高安全性，加密后的密码通常存储在 /etc/shadow 文件中，而不是直接存储在 /etc/passwd 中。
• 网络环境：在分布式系统中，密码信息可以通过 NIS 或 LDAP 进行分发，保持对应用程序的透明性。

通过理解 /etc/passwd 文件的结构和功能，系统管理员可以更好地管理和维护用户账户，确保系统的安全性和稳定性。

8.2 Shadow 密码文件：/etc/shadow

引言

在早期的 Unix 系统中，所有用户信息，包括加密后的密码，都存储在 /etc/passwd 文件中。由于许多非特权程序需要读取 /etc/passwd 文件中的其他信息（如用户名、UID、GID 等），该文件必须对所有用户开放可读权限。这为攻击者提供了机会，他们可以通过暴力破解工具尝试猜测用户的密码。为了增强系统的安全性，shadow 密码机制应运而生。

1. Shadow 密码文件的作用

/etc/shadow 文件的主要作用是将经过加密处理的用户密码从 /etc/passwd 文件中分离出来，并将其存储在一个只有超级用户（root）和特定特权程序可以访问的文件中。这样，即使普通用户可以读取 /etc/passwd 文件，也无法直接看到加密后的密码，从而减少了密码被破解的风险。

2. /etc/shadow 文件的结构

每行代表一个用户账户，包含 9 个字段，字段之间用冒号（:）分隔。以下是这些字段的详细解释：

1. 登录名（Login Name）

   • 描述：与 /etc/passwd 文件中的登录名相同，用于标识用户账户。
   • 作用：用于匹配 /etc/passwd 文件中的相应记录。

2. 经过加密的密码（Encrypted Password）

   • 描述：用户密码经过加密后的字符串。现代系统通常使用更安全的算法（如 MD5、SHA-256 或 SHA-512）来加密密码。
   • 特殊值：
     • ! 或 *：表示该账户已被禁用，无法登录。
     • 空字符串：表示该账户无需密码即可登录（虽然不常见，但某些情况下可能允许）。
   • 加密算法标识：加密字符串的前缀会指示使用的加密算法。例如：
     • $1$ 表示使用 MD5 加密。
     • $5$ 表示使用 SHA-256 加密。
     • $6$ 表示使用 SHA-512 加密。

3. 上次更改密码的日期（Last Password Change）

   • 描述：表示最后一次更改密码的日期，以自 1970 年 1 月 1 日以来的天数表示。
   • 作用：用于计算密码的过期时间。

4. 最小密码年龄（Minimum Password Age）

   • 描述：表示用户在多少天后可以再次更改密码。如果设置为 0，则用户可以随时更改密码。
   • 作用：防止用户频繁更改密码。

5. 最大密码年龄（Maximum Password Age）

   • 描述：表示密码的有效期，即用户必须在多少天内更改密码。超过这个期限，用户将被强制更改密码。
   • 作用：确保密码定期更新，提高安全性。

6. 密码警告期（Password Warning Period）

   • 描述：表示在密码过期前几天开始提醒用户更改密码。
   • 作用：给用户足够的时间来更改即将过期的密码。

7. 密码不活动期（Password Inactivity Period）

   • 描述：表示密码过期后，账户在多少天内仍然有效。超过这个期限，账户将被锁定。
   • 作用：防止用户在密码过期后继续使用旧密码。

8. 账户失效日期（Account Expiration Date）

   • 描述：表示账户的失效日期，以自 1970 年 1 月 1 日以来的天数表示。超过这个日期，账户将被禁用。
   • 作用：用于管理临时账户或有固定期限的账户。

9. 保留字段（Reserved Field）

   • 描述：目前未使用，保留供将来扩展。

3. 示例

以下是一个典型的 /etc/shadow 文件的示例行：

john:$6$random_salt$encrypted_password:18962:0:99999:7:::

• john：登录名
• $6$random_salt$encrypted_password：使用 SHA-512 加密的密码
• 18962：上次更改密码的日期（自 1970 年 1 月 1 日以来的天数）
• 0：最小密码年龄（用户可以随时更改密码）
• 99999：最大密码年龄（密码有效期为 99999 天，几乎无限）
• 7：密码警告期（在密码过期前 7 天开始提醒用户）
• :::：剩余字段为空，表示没有设置密码不活动期、账户失效日期和保留字段

4. 安全性和管理

• 权限控制：/etc/shadow 文件的权限通常设置为 000 或 0400，只有超级用户（root）可以读取该文件。普通用户无法直接访问其中的内容。
• 密码加密：现代系统使用更安全的加密算法（如 SHA-256 或 SHA-512）来加密密码，增加了破解难度。
• 密码策略：通过设置最小密码年龄、最大密码年龄、密码警告期等字段，系统管理员可以实施严格的密码策略，确保密码的安全性。
• 账户管理：通过设置账户失效日期，系统管理员可以管理临时账户或有固定期限的账户，确保账户在不再需要时自动失效。

5. Shadow 组文件：/etc/gshadow

类似于 /etc/shadow 文件，/etc/gshadow 文件用于存储组密码和其他与组相关的安全信息。每个组在 /etc/gshadow 文件中占据一行，包含 4 个字段，字段之间用冒号（:）分隔。以下是这些字段的详细解释：

1. 组名（Group Name）

   • 描述：组的名称，与 /etc/group 文件中的组名相同。
   • 作用：用于标识组。

2. 经过加密的组密码（Encrypted Group Password）

   • 描述：组密码经过加密后的字符串。如果启用了 shadow 密码机制，组密码会存储在这里，而不是在 /etc/group 文件中。
   • 特殊值：
     • ! 或 *：表示该组没有设置密码，或者密码已禁用。
     • 空字符串：表示该组没有密码保护。

3. 管理员列表（Administrators List）

   • 描述：属于该组的管理员用户名列表，之间用逗号分隔。管理员可以管理组成员和组密码。
   • 作用：用于管理组的权限。

4. 成员列表（Members List）

   • 描述：属于该组的普通用户名列表，之间用逗号分隔。
   • 作用：用于列出该组的所有成员。

6. 总结

• /etc/shadow：存储用户的加密密码和其他与安全性相关的字段，只有超级用户可以读取。它提高了系统的安全性，防止密码被轻易破解。
• /etc/gshadow：存储组密码和其他与组相关的安全信息，同样只有超级用户可以读取。
• 密码加密：现代系统使用更安全的加密算法（如 SHA-256 或 SHA-512）来加密密码，增加了破解难度。
• 密码策略：通过设置最小密码年龄、最大密码年龄、密码警告期等字段，系统管理员可以实施严格的密码策略，确保密码的安全性。
• 账户管理：通过设置账户失效日期，系统管理员可以管理临时账户或有固定期限的账户，确保账户在不再需要时自动失效。

通过使用 shadow 密码机制，系统管理员可以更好地保护用户密码，防止未经授权的访问，同时保持系统的灵活性和易管理性。

8.3 组文件：/etc/group

在类 Unix 系统中，/etc/group 文件用于定义用户组及其成员关系。每个用户组在该文件中占据一行，每行包含 4 个字段，字段之间用冒号（:）分隔。以下是这些字段的详细解释：

1. 组名（Group Name）

• 描述：组的名称，类似于 /etc/passwd 文件中的登录名。它是人类可读的符号标识符，对应于数值型组 ID（GID）。
• 作用：用于标识用户组，并在命令行工具和程序中引用。

2. 经过加密处理的密码（Encrypted Password）

• 描述：组密码经过加密后的字符串。这是一个非强制特性，现代系统中很少使用组密码。然而，仍然可以通过 gpasswd 命令为组设置密码。
• 特殊值：
  • x：如果启用了 shadow 密码机制，该字段通常包含字母 x，表示加密后的密码实际存储在 /etc/gshadow 文件中。
  • 空字符串：表示该组没有设置密码保护。
  • 其他字符：如果该字段包含任何其他字符串（如 ! 或 *），则表示该组密码已禁用或无效。
• 作用：用于保护组成员身份，确保只有授权用户可以加入该组。例如，当用户使用 newgrp 命令切换到一个受密码保护的组时，需要提供正确的组密码。

3. 组 ID（Group ID, GID）

• 描述：组的数值型 ID。每个组在系统中都有一个唯一的 GID。
• 特权组：GID 为 0 的组通常是 root 组，具有超级用户权限。
• 历史背景：
  • 在 Linux 2.2 及更早版本中，GID 是 16 位值，范围为 0～65535。
  • 从 Linux 2.4 开始，GID 使用 32 位值，支持更多的组数。
• 作用：用于唯一标识用户组，并在文件和目录的权限设置中使用。

4. 用户列表（Members List）

• 描述：属于该组的用户名列表，各用户名之间用逗号分隔。这份列表包含的是用户名，而不是用户 ID，因为同一个用户 ID 可能对应多个不同的用户名（尽管这种情况不常见）。
• 作用：列出该组的所有成员。用户可以通过 groups 命令查看当前 shell 进程所属的组，或者通过 groups <username> 查看特定用户的组成员关系。

5. 组文件的历史和演变

• 早期 Unix 实现：在早期的 Unix 系统中，一个用户只能从属于一个组。用户的初始属组由 /etc/passwd 文件中的组 ID 字段决定。如果用户想要切换到另一个组，必须使用 newgrp 命令，并且如果目标组受密码保护，还需要提供组密码。
• 并发多属组：4.2BSD 引入了并发多属组的概念，允许用户同时属于多个组。这一特性随后被 POSIX.1-1990 标准化。采用这种方案后，/etc/group 文件开始列出每个用户所属的其他组，从而实现了更灵活的权限管理。

6. 示例

假设用户 avr 是 users、staff 和 teach 三个组的成员。那么 /etc/passwd 文件中 avr 的记录可能如下所示：

avr:x:1001:100:Avi Raja,,,:/home/avr:/bin/bash

• 第 4 个字段 100 表示 avr 的初始属组是 users 组（假设 users 组的 GID 为 100）。

而在 /etc/group 文件中，相关的记录可能如下所示：

users:x:100:avr,jane,mark
staff:x:500:avr,bob
teach:x:600:avr,alice

• users 组的 GID 为 100，成员包括 avr、jane 和 mark。
• staff 组的 GID 为 500，成员包括 avr 和 bob。
• teach 组的 GID 为 600，成员包括 avr 和 alice。

7. Shadow 组文件：/etc/gshadow

类似于 /etc/shadow 文件用于存储用户的加密密码，/etc/gshadow 文件用于存储组的加密密码和其他与组安全相关的信息。每个组在 /etc/gshadow 文件中占据一行，包含 4 个字段，字段之间用冒号（:）分隔。以下是这些字段的详细解释：

1. 组名（Group Name）

   • 与 /etc/group 文件中的组名相同，用于标识组。

2. 经过加密的组密码（Encrypted Group Password）

   • 如果启用了 shadow 密码机制，组密码会存储在这里，而不是在 /etc/group 文件中。
   • 特殊值：
     • ! 或 *：表示该组没有设置密码，或者密码已禁用。
     • 空字符串：表示该组没有密码保护。

3. 管理员列表（Administrators List）

   • 属于该组的管理员用户名列表，之间用逗号分隔。管理员可以管理组成员和组密码。

4. 成员列表（Members List）

   • 属于该组的普通用户名列表，之间用逗号分隔。

8. 总结

• /etc/group：存储用户组的基本信息，包括组名、组 ID 和组成员列表。它用于定义用户与组之间的关系，并控制对文件和其他系统资源的访问。
• /etc/gshadow：存储组的加密密码和其他与组安全相关的信息，只有超级用户（root）可以读取。它提高了系统的安全性，防止未经授权的用户加入受密码保护的组。
• 并发多属组：现代系统允许用户同时属于多个组，这使得权限管理更加灵活。/etc/group 文件列出每个用户所属的其他组，而用户的初始属组由 /etc/passwd 文件中的组 ID 字段决定。
• 组密码：虽然组密码在现代系统中不常用，但仍然可以通过 gpasswd 命令为组设置密码，以保护组成员身份。

通过理解 /etc/group 文件的结构和功能，系统管理员可以更好地管理和维护用户组，确保系统的安全性和灵活性。

8.4 获取用户和组的信息

本节介绍的库函数用于从密码文件、shadow 密码文件和组文件中获取单条记录，以及扫描这些文件的所有记录。这些函数可以帮助开发者在程序中获取用户的详细信息、组信息等。

1. 从密码文件获取记录

1.1 getpwnam() 和 getpwuid()

这两个函数用于从 /etc/passwd 文件中获取用户信息。它们返回一个指向 struct passwd 结构的指针，该结构包含用户账户的详细信息。

• 原型：

  #include <pwd.h>struct passwd *getpwnam(const char *name);
  struct passwd *getpwuid(uid_t uid);
  

• 返回值：

  • 成功时返回指向 struct passwd 结构的指针。
  • 如果未找到匹配的记录或发生错误，则返回 NULL。

• struct passwd 结构：

  struct passwd {char   *pw_name;   /* 登录名 (用户名) */char   *pw_passwd; /* 加密后的密码（如果未启用 shadow 密码） */uid_t   pw_uid;    /* 用户 ID */gid_t   pw_gid;    /* 组 ID */char   *pw_gecos;  /* 注释字段（用户信息） */char   *pw_dir;    /* 主目录 */char   *pw_shell;  /* 登录 shell */
  };
  

• pw_gecos 字段：

  • 该字段的命名源自早期的 Unix 实现，最初用于与运行 GECOS（通用电器综合操作系统）的计算机进行通信。尽管这一用途早已过时，但其名称得以保留，现在用于存储用户的描述性信息（如全名、办公室位置等）。

• pw_passwd 字段：

  • 仅当未启用 shadow 密码时，该字段才会包含有效的加密密码。如果启用了 shadow 密码，该字段通常包含占位符（如 x），而实际的加密密码存储在 /etc/shadow 文件中。

• 可重入性：

  • getpwnam() 和 getpwuid() 返回的指针指向静态分配的内存，因此它们是不可重入的（not reentrant）。每次调用这些函数都会覆盖之前的结果。此外，struct passwd 结构中的某些字段（如 pw_name）也指向静态分配的内存，这进一步增加了不可重入性的问题。

• 区分“未找到”和“出错”：

  • 根据 SUSv3 规范，如果在 /etc/passwd 文件中未找到匹配的记录，getpwnam() 和 getpwuid() 会返回 NULL，并且不会修改 errno。因此，可以通过检查 errno 来区分“未找到”和“出错”两种情况。
  • 然而，不同实现的行为可能有所不同。例如，某些 Unix 实现会在未找到记录时将 errno 设置为 ENOENT 或 ESRCH。为了确保代码的可移植性，建议在使用这些函数时谨慎处理 errno 的值。

• 示例代码：

  #include <stdio.h>
  #include <pwd.h>
  #include <errno.h>int main() {struct passwd *pwd;errno = 0;pwd = getpwnam("john");if (pwd == NULL) {if (errno == 0) {printf("User not found\n");} else {perror("Error");}} else {printf("User found: %s\n", pwd->pw_name);}return 0;
  }
  

1.2 可重入版本：getpwnam_r() 和 getpwuid_r()

为了提高线程安全性和可重入性，SUSv3 定义了可重入版本的函数：

• 原型：

  #include <pwd.h>int getpwnam_r(const char *name, struct passwd *pwd, char *buf, size_t buflen, struct passwd **result);
  int getpwuid_r(uid_t uid, struct passwd *pwd, char *buf, size_t buflen, struct passwd **result);
  

• 参数：

  • name 或 uid：查询条件（用户名或用户 ID）。
  • pwd：用于存储结果的 struct passwd 结构。
  • buf：用于存储 struct passwd 中各字段指向的其他数据的缓冲区。
  • buflen：缓冲区的大小。
  • result：返回的结果指针，如果成功则指向 pwd，否则为 NULL。

• 返回值：

  • 成功时返回 0。
  • 如果缓冲区太小，返回 ERANGE。
  • 如果未找到匹配的记录，返回 0 并将 *result 设置为 NULL。
  • 如果发生其他错误，返回相应的错误码。

• 示例代码：

  #include <stdio.h>
  #include <pwd.h>
  #include <errno.h>
  #include <unistd.h>int main() {struct passwd pwd, *result;char buf[1024];size_t buflen = sizeof(buf);int ret = getpwnam_r("john", &pwd, buf, buflen, &result);if (ret != 0) {if (ret == ERANGE) {printf("Buffer too small\n");} else {perror("Error");}} else if (result == NULL) {printf("User not found\n");} else {printf("User found: %s\n", result->pw_name);}return 0;
  }
  

2. 从 shadow 密码文件获取记录

2.1 getspnam()

getspnam() 函数用于从 /etc/shadow 文件中获取用户的 shadow 密码信息。

• 原型：

  #include <shadow.h>struct spwd *getspnam(const char *name);
  

• 返回值：

  • 成功时返回指向 struct spwd 结构的指针。
  • 如果未找到匹配的记录或发生错误，则返回 NULL。

• struct spwd 结构：

  struct spwd {char   *sp_namp;   /* 登录名 */char   *sp_pwdp;   /* 加密后的密码 */long    sp_lstchg; /* 上次更改密码的日期 */long    sp_min;    /* 最小密码年龄 */long    sp_max;    /* 最大密码年龄 */long    sp_warn;   /* 密码警告期 */long    sp_inact;  /* 密码不活动期 */long    sp_expire; /* 账户失效日期 */unsigned long sp_flag; /* 保留字段 */
  };
  

• 示例代码：

  #include <stdio.h>
  #include <shadow.h>
  #include <errno.h>int main() {struct spwd *sp;sp = getspnam("john");if (sp == NULL) {if (errno == 0) {printf("User not found in shadow file\n");} else {perror("Error");}} else {printf("Shadow password found for user: %s\n", sp->sp_namp);}return 0;
  }
  

3. 从组文件获取记录

3.1 getgrnam() 和 getgrgid()

这两个函数用于从 /etc/group 文件中获取组信息。它们返回一个指向 struct group 结构的指针，该结构包含组的详细信息。

• 原型：

  #include <grp.h>struct group *getgrnam(const char *name);
  struct group *getgrgid(gid_t gid);
  

• 返回值：

  • 成功时返回指向 struct group 结构的指针。
  • 如果未找到匹配的记录或发生错误，则返回 NULL。

• struct group 结构：

  struct group {char   *gr_name;   /* 组名 */char   *gr_passwd; /* 加密后的组密码（如果未启用 shadow 组密码） */gid_t   gr_gid;    /* 组 ID */char  **gr_mem;    /* 指向组成员用户名数组的指针（以 NULL 结尾） */
  };
  

• gr_passwd 字段：

  • 仅当未启用 shadow 组密码时，该字段才会包含有效的加密密码。如果启用了 shadow 组密码，该字段通常为空或包含占位符（如 ! 或 *），而实际的加密密码存储在 /etc/gshadow 文件中。

• 可重入性：

  • 与 getpwnam() 和 getpwuid() 类似，getgrnam() 和 getgrgid() 也是不可重入的。每次调用这些函数都会覆盖之前的结果。

• 区分“未找到”和“出错”：

  • 根据 SUSv3 规范，如果在 /etc/group 文件中未找到匹配的记录，getgrnam() 和 getgrgid() 会返回 NULL，并且不会修改 errno。因此，可以通过检查 errno 来区分“未找到”和“出错”两种情况。
  • 然而，不同实现的行为可能有所不同。例如，某些 Unix 实现会在未找到记录时将 errno 设置为 ENOENT 或 ESRCH。为了确保代码的可移植性，建议在使用这些函数时谨慎处理 errno 的值。

• 示例代码：

  #include <stdio.h>
  #include <grp.h>
  #include <errno.h>int main() {struct group *grp;errno = 0;grp = getgrnam("users");if (grp == NULL) {if (errno == 0) {printf("Group not found\n");} else {perror("Error");}} else {printf("Group found: %s\n", grp->gr_name);}return 0;
  }
  

3.2 可重入版本：getgrnam_r() 和 getgrgid_r()

为了提高线程安全性和可重入性，SUSv3 定义了可重入版本的函数：

• 原型：

  #include <grp.h>int getgrnam_r(const char *name, struct group *grp, char *buf, size_t buflen, struct group **result);
  int getgrgid_r(gid_t gid, struct group *grp, char *buf, size_t buflen, struct group **result);
  

• 参数：

  • name 或 gid：查询条件（组名或组 ID）。
  • grp：用于存储结果的 struct group 结构。
  • buf：用于存储 struct group 中各字段指向的其他数据的缓冲区。
  • buflen：缓冲区的大小。
  • result：返回的结果指针，如果成功则指向 grp，否则为 NULL。

• 返回值：

  • 成功时返回 0。
  • 如果缓冲区太小，返回 ERANGE。
  • 如果未找到匹配的记录，返回 0 并将 *result 设置为 NULL。
  • 如果发生其他错误，返回相应的错误码。

• 示例代码：

  #include <stdio.h>
  #include <grp.h>
  #include <errno.h>
  #include <unistd.h>int main() {struct group grp, *result;char buf[1024];size_t buflen = sizeof(buf);int ret = getgrnam_r("users", &grp, buf, buflen, &result);if (ret != 0) {if (ret == ERANGE) {printf("Buffer too small\n");} else {perror("Error");}} else if (result == NULL) {printf("Group not found\n");} else {printf("Group found: %s\n", result->gr_name);}return 0;
  }
  

4. 总结

• getpwnam() 和 getpwuid()：用于从 /etc/passwd 文件中获取用户信息。返回的指针指向静态分配的内存，因此它们是不可重入的。为了提高线程安全性，可以使用可重入版本 getpwnam_r() 和 getpwuid_r()。
• getspnam()：用于从 /etc/shadow 文件中获取用户的 shadow 密码信息。返回的指针同样指向静态分配的内存。
• getgrnam() 和 getgrgid()：用于从 /etc/group 文件中获取组信息。返回的指针指向静态分配的内存，因此它们是不可重入的。为了提高线程安全性，可以使用可重入版本 getgrnam_r() 和 getgrgid_r()。
• 可重入性：由于这些函数返回的指针指向静态分配的内存，因此它们是不可重入的。为了确保线程安全性和避免数据竞争，建议使用可重入版本的函数。
• 区分“未找到”和“出错”：根据 SUSv3 规范，errno 在未找到记录时应保持不变，但在某些实现中可能会被设置为非零值。为了确保代码的可移植性，建议在使用这些函数时谨慎处理 errno 的值。

通过使用这些函数，开发者可以在程序中方便地获取用户和组的详细信息，从而实现更复杂的功能，如用户认证、权限管理等。

8.5 密码加密和用户认证

在类 Unix 系统中，用户认证通常通过用户名（登录名）和密码的方式进行。为了确保安全性，系统使用单向加密算法对密码进行加密，使得从加密后的密码无法还原出原始密码。因此，验证用户输入的密码时，必须使用相同的加密算法对候选密码进行加密，并将其与存储在 /etc/shadow 文件中的加密密码进行比较。

1. crypt() 函数

crypt() 函数是用于加密密码的核心函数。它接受一个密钥（即密码）和一个盐值（salt），并返回加密后的密码字符串。以下是 crypt() 函数的详细说明：

• 原型：

  #define _XOPEN_SOURCE
  #include <unistd.h>char *crypt(const char *key, const char *salt);
  

• 参数：

  • key：要加密的密码字符串。传统上，key 的长度最多为 8 个字符（对于 DES 算法）。现代实现允许更长的密码。
  • salt：用于扰动加密算法的盐值。salt 是一个两字符的字符串，取自 [a-zA-Z0-9./] 这 64 个字符的集合。salt 的作用是增加加密结果的随机性，使得即使两个用户选择了相同的密码，它们的加密结果也会不同。

• 返回值：

  • 成功时返回指向静态分配的字符串的指针，该字符串包含加密后的密码。
  • 如果发生错误，则返回 NULL。

• 加密算法：

  • DES：传统的加密算法，生成 13 个字符的加密字符串。salt 参数的前两个字符用于扰动 DES 算法，使得加密结果更加难以破解。
  • MD5：生成 34 个字符的加密字符串，以 $1$ 开头。这种算法比 DES 更加安全。
  • SHA-256 和 SHA-512：生成 60 个字符的加密字符串，分别以 $5$ 和 $6$ 开头。这些算法提供了更高的安全性。

• 示例：

  char *encrypted = crypt("password", "ab");
  printf("Encrypted password: %s\n", encrypted);
  

  假设使用 DES 算法，输出可能是：

  Encrypted password: abCDEF1234567890
  

  如果使用 MD5 算法，输出可能是：

  Encrypted password: $1$ab$abcdef1234567890
  

2. 盐值（Salt）

盐值的作用是增加加密结果的随机性，防止攻击者使用预计算的彩虹表（rainbow table）来破解密码。crypt() 函数使用 salt 参数的前两个字符作为实际的盐值。这意味着，即使两个用户选择了相同的密码，只要它们的盐值不同，加密结果也会不同。

• 盐值的生成：

  • 在创建新用户或更改密码时，passwd 程序会生成一个随机的盐值。
  • 盐值可以是任意两个字符，取自 [a-zA-Z0-9./] 这 64 个字符的集合。
  • 由于每个字符有 64 种可能，两个字符的盐值可以产生 4096 种不同的组合（64 × 64 = 4096）。

• 盐值的存储：

  • 加密后的密码字符串中包含了盐值。例如，DES 算法生成的加密字符串的前两个字符就是盐值。
  • 当验证密码时，可以从已加密的密码中提取盐值，并使用相同的盐值对候选密码进行加密。

3. 用户认证流程

用户认证的基本流程如下：

1. 读取用户名：程序首先读取用户输入的用户名。
2. 获取密码记录：使用 getpwnam() 函数从 /etc/passwd 文件中获取用户的密码记录。
3. 获取 shadow 密码记录：如果启用了 shadow 密码机制，使用 getspnam() 函数从 /etc/shadow 文件中获取用户的加密密码。
4. 读取用户输入的密码：使用 getpass() 函数读取用户输入的密码。getpass() 函数会屏蔽回显功能，防止密码显示在屏幕上。
5. 加密用户输入的密码：使用 crypt() 函数对用户输入的密码进行加密，并使用从 /etc/shadow 中提取的盐值。
6. 比较加密结果：将加密后的用户输入密码与 /etc/shadow 中存储的加密密码进行比较。如果两者匹配，则认证成功；否则，认证失败。

4. 安全注意事项

• 立即清除明文密码：为了防止恶意用户通过内存转储或其他方式获取未加密的密码，程序应在加密后立即清除明文密码。可以通过将密码字符串中的每个字符设置为 \0 来实现这一点。

  for (char *p = password; *p != '\0'; p++) {*p = '\0';
  }
  

• 防止内存泄露：即使程序崩溃，也应确保未加密的密码不会泄露。为此，建议使用 mlock() 函数将包含密码的内存页锁定在物理内存中，防止其被换出到交换文件中。

• 避免使用过时的函数：getpass() 函数已被标记为遗留函数（LEGACY），虽然大多数 Unix 实现仍然支持它，但建议使用更安全的替代方案，如 readline() 或 getpasswd()。

5. 示例程序：用户认证

以下是一个完整的示例程序，演示如何使用 crypt() 函数进行用户认证。该程序读取用户名和密码，然后验证用户输入的密码是否与 /etc/shadow 中存储的加密密码匹配。

#define _BSD_SOURCE     /* Get getpass() declaration from <unistd.h> */
#define _XOPEN_SOURCE   /* Get crypt() declaration from <unistd.h> */
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <limits.h>
#include <pwd.h>
#include <shadow.h>
#include <string.h>
#include <sys/types.h>int main(int argc, char *argv[]) {char *username, *password, *encrypted;struct passwd *pwd;struct spwd *spwd;size_t len;long login_name_max;/* 获取主机系统上用户名字符串的最大长度 */login_name_max = sysconf(_SC_LOGIN_NAME_MAX);if (login_name_max == -1) {login_name_max = 256;  /* 如果无法确定最大长度，使用默认值 */}/* 分配内存用于存储用户名 */username = malloc(login_name_max);if (username == NULL) {perror("malloc");exit(EXIT_FAILURE);}/* 读取用户名 */printf("Username: ");fflush(stdout);if (fgets(username, login_name_max, stdin) == NULL) {exit(EXIT_FAILURE);  /* 退出于 EOF */}/* 去除尾部的换行符 */len = strlen(username);if (username[len - 1] == '\n') {username[len - 1] = '\0';}/* 获取密码记录 */pwd = getpwnam(username);if (pwd == NULL) {fprintf(stderr, "Couldn't get password record\n");exit(EXIT_FAILURE);}/* 获取 shadow 密码记录 */spwd = getspnam(username);if (spwd == NULL && errno == EACCES) {fprintf(stderr, "No permission to read shadow password file\n");exit(EXIT_FAILURE);}/* 使用 shadow 密码记录 */if (spwd != NULL) {pwd->pw_passwd = spwd->sp_pwdp;}/* 读取用户输入的密码 */password = getpass("Password: ");/* 加密用户输入的密码，并立即清除明文密码 */encrypted = crypt(password, pwd->pw_passwd);for (char *p = password; *p != '\0'; p++) {*p = '\0';}if (encrypted == NULL) {perror("crypt");exit(EXIT_FAILURE);}/* 比较加密结果 */if (strcmp(encrypted, pwd->pw_passwd) == 0) {printf("Successfully authenticated: UID=%ld\n", (long)pwd->pw_uid);exit(EXIT_SUCCESS);} else {printf("Incorrect password\n");exit(EXIT_FAILURE);}
}

6. 总结

• crypt() 函数：用于加密密码的核心函数，接受密钥（密码）和盐值作为参数，返回加密后的密码字符串。支持多种加密算法，如 DES、MD5、SHA-256 和 SHA-512。
• 盐值（Salt）：用于增加加密结果的随机性，防止预计算的彩虹表攻击。盐值通常是从 [a-zA-Z0-9./] 这 64 个字符中随机选择的两个字符。
• 用户认证流程：包括读取用户名、获取密码记录、读取用户输入的密码、加密密码并进行比较。为了确保安全性，程序应在加密后立即清除明文密码。
• 安全注意事项：防止内存泄露，避免使用过时的函数，确保未加密的密码不会通过内存转储或其他方式泄露。

通过理解 crypt() 函数的工作原理和用户认证的流程，开发者可以编写更加安全的认证程序，确保系统的安全性。