| 目录 | /etc/pam.d/、/etc/security/ |
|---|---|
| 观察 | 文件 mtime、非标准模块、pam_exec 调用 |
核查
核查
ls -l --time-style=long-iso /etc/pam.d/ | head -20
grep -Rn 'pam_exec\|pam_permit' /etc/pam.d/PAM 配置出错可能导致全系统无法登录，核查阶段只读不写。
PAM 配置改动识别
PAM 是 Linux 认证中枢，/etc/pam.d/ 下的模块链被插入 pam_exec 或改动 pam_unix 参数，可能形成隐蔽的认证后门或口令窃取。
易错点
- pam_permit 也用于部分服务的合法配置，需对照发行版默认文件
- 与同发行版基线文件逐行差异比对，比全局搜索更有效
数据来源与参考
- Linux-PAM 官方文档（pam.d 与 pam_exec）