(相關(guān)資料圖)

問題說明

使用普通用戶su - root命令切換root用戶，多次報(bào)密碼錯(cuò)誤，用ssh直接root用戶登錄， 密碼確認(rèn)又是正確的。

$ su - root密碼：su: 密碼不正確$ su - root密碼：su: 密碼不正確

查看系統(tǒng)登錄日志

然后查看用戶登錄的系統(tǒng)日志，看錯(cuò)誤是依賴包的問題。

# tail -f /var/log/secureDec 20 03:46:50 iZn7m5cjif1krmysk8523fZ su: PAM unable to dlopen(/lib/security/pam.tally.so): /lib/security/pam.tally.so: 無法打開共享對(duì)象文件: 沒有那個(gè)文件或目錄Dec 20 03:46:50 iZn7m5cjif1krmysk8523fZ su: PAM adding faulty module: /lib/security/pam.tally.so

檢查系統(tǒng)是否有提示的依賴包

于是檢查用戶系統(tǒng)里是否存在提示的依賴包發(fā)現(xiàn)系統(tǒng)不存在提示錯(cuò)誤的pam.tally.so這個(gè)依賴包。

# find / -name pam.tally.so

檢查系統(tǒng)認(rèn)證配置文件

?　　于是用戶登錄的認(rèn)證配置文件，發(fā)現(xiàn)有一行/lib/security/pam.tally.so的配置，于是確認(rèn)問題為該配置所導(dǎo)致。詢問系統(tǒng)管理員確認(rèn)原因?yàn)橐驗(yàn)橐霭踩庸蹋宰隽讼嚓P(guān)配置。

# cat /etc/pam.d/system-auth#%PAM-1.0# This file is auto-generated.# User changes will be destroyed the next time authconfig is run.auth        required      pam_env.soauth        sufficient    pam_fprintd.soauth        sufficient    pam_unix.so nullok try_first_passauth        requisite     pam_succeed_if.so uid >= 500 quietauth        required      pam_deny.soaccount     required      /lib/security/pam.tally.so deny=3 no_magic root resetaccount     required      pam_unix.soaccount     sufficient    pam_localuser.soaccount     sufficient    pam_succeed_if.so uid < 500 quietaccount     required      pam_permit.sopassword    requisite     pam_cracklib.so try_first_pass retry=3 type=password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtokpassword    required      pam_deny.sosession     optional      pam_keyinit.so revokesession     required      pam_limits.sosession     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uidsession     required      pam_unix.so

問題修復(fù)方法

找到問題后，處理就很簡(jiǎn)單了，在此提供兩種解決方法供參考使用，第一種方法就是直接注釋導(dǎo)致問題的配置語句，如果系統(tǒng)安全加固需要謹(jǐn)慎使用；第二種方法是直接配置普通用戶sudo -s切換免秘鑰登錄，方法如下。

方法一：

# vi /etc/pam.d/system-auth注釋掉該句#account     required      /lib/security/pam.tally.so deny=3 no_magic root reset

方法二：

#username為你的實(shí)際用戶需注意chmod u+w /etc/sudoerscp /etc/sudoers /etc/sudoers.origecho "username ALL=(ALL) NOPASSWD:ALL" >>/etc/sudoerschmod u-w /etc/sudoers#測(cè)試普通用門切換root用戶免秘鑰登錄正常sudo -s