如何查看命令“passwd <用户名>”的历史记录

Question

我正在寻找一种方法来审核本地网络服务器的用户root（命令）的密码更改历史记录。passwd

我如何通过 IP 地址查看执行此命令的日期和/或时间？

Answer 1

你无法分辨谁发布了passwd以及从哪里发布的。

但我的 Ubuntu 配置为将密码更改记录到 ，/var/log/auth.log而我的 RHEL 和 CentOS 将密码更改记录到/var/log/secure，如果它们是使用 passwd 命令进行的。您将看到pam_unix(passwd:chauthtok): password changed for消息。

因此，除非有人直接修改 /etc/shadow（可能是管理员），否则您可以看到密码何时设置。

设置当前密码时也存储在 /etc/shadow 中

请参阅https://linux.die.net/man/3/shadow和https://linux.die.net/man/5/shadow

包含密码哈希值的文件中的第三个字段/etc/shadow 是sp_lstchg- 自 1970 年 1 月 1 日上次更改密码以来的天数。

root@serverfault:~# grep root /etc/shadow
root:*:17928:0:99999:7:::
       ^^^^^

root@serverfault:~# date --date '1970-01-01 +17928days'
Fri Feb  1 00:00:00 CET 2019