摘要
本文从Linux安全专家视角，深入剖析passwd与chpasswd命令在密码设置中的底层原理差异，涵盖PAM模块调用机制、密码存储格式、安全考量及实际操作实例，为系统管理员提供全面的技术参考。
1. 核心概览：两种密码管理工具的本质区别
| 特性 | passwd命令 | chpasswd命令 |
|---|---|---|
| 设计目的 | 交互式密码更改 | 批量密码设置 |
| 用户交互 | 需要用户交互（输入密码） | 非交互式（从文件/管道读取） |
| PAM调用 | 完全集成PAM | 默认不调用PAM |
| 典型使用场景 | 用户自主改密、管理员单用户改密 | 批量用户初始化、自动化脚本 |
| 权限要求 | 普通用户可改自己密码，root可改任何密码 | 通常需要root权限 |
2. 底层架构深度解析
2.1 passwd：完整的PAM认证流程
// 简化版passwd工作流程passwd_main(){// 1. 身份验证阶段pam_start("passwd",username,&pam_conv,&pamh);pam_authenticate(pamh,0);// 验证当前用户身份// 2. 密码策略校验（通过PAM）pam_chauthtok(pamh,0);// 调用PAM密码更改模块// 3. 密码更新（最终由PAM模块写入shadow）pam_end(pamh,exit_status);}关键PAM配置文件：
/etc/pam.d/passwd# passwd的PAM配置典型配置内容：
#%PAM-1.0 auth include system-auth account include system-auth password substack system-auth -password optional pam_gnome_keyring.so2.2 chpasswd：直接操作shadow文件
// chpasswd核心逻辑（简化）chpasswd_main(){// 1. 读取用户名:密码对while(read_line(&username,&password)){// 2. 直接加密密码（不经过PAM策略检查）char*encrypted=crypt(password,salt);// 3. 直接写入/etc/shadow文件update_shadow_file(username,encrypted);}}关键特性：
- 绕过PAM密码复杂度策略
- 直接调用
crypt(3)函数加密 - 以root权限直接修改
/etc/shadow
3. PAM模块调用机制对比
3.1 passwd的PAM调用栈
┌─────────────────────────────────────────┐ │ passwd命令 │ ├─────────────────────────────────────────┤ │ 1. pam_authenticate() │ │ ├─pam_unix.so (验证当前密码) │ │ └─pam_tally2.so (失败计数) │ │ │ │ 2. pam_chauthtok() │ │ ├─pam_pwquality.so (密码质量检查) │ │ ├─pam_unix.so (密码加密和存储) │ │ ├─pam_cracklib.so (字典检查) │ │ └─pam_pwhistory.so (密码历史检查) │ └─────────────────────────────────────────┘3.2 chpasswd的PAM回避机制
# 查看chpasswd是否使用PAM$ ldd /usr/sbin/chpasswd|greppam# 通常无输出，表明不链接PAM库# 验证方法：strace追踪系统调用$strace-e openat chpasswd<<<"testuser:Test@123"2>&1|greppam# 无PAM相关文件访问4. 密码存储格式与加密算法
两种命令最终都写入/etc/shadow，格式相同：
username:$y$j9T$salt$encrypted:18459:0:99999:7:::但加密过程有差异：
4.1 passwd的加密流程
# PAM控制加密算法（/etc/pam.d/system-auth）password sufficient pam_unix.so sha512 shadow nullok try_first_pass4.2 chpasswd的加密控制
# 指定加密算法（-c参数）$echo"user:password"|chpasswd -c SHA512# 使用已有加密值（-e参数）$echo"user:$6$salt$encrypted"|chpasswd -e5. 安全审计与监控差异
5.1 passwd的安全审计记录
# 查看passwd操作的审计日志$ ausearch -m USER_CHAUTHTOK -cpasswdtime->Tue Jan1510:30:002024type=USER_CHAUTHTOKmsg=audit(1705300200.123:456):pid=1234uid=0auid=1000ses=1msg='op=password acct="testuser" exe="/usr/bin/passwd" hostname=? addr=? terminal=pts/0 res=success'5.2 chpasswd的审计缺陷
# chpasswd可能只记录简单命令执行$grepchpasswd /var/log/secure Jan1510:35:01 server chpasswd[5678]: password changedforuser1# 但不会记录密码策略违反情况！6. 实际应用场景与操作示例
6.1 passwd命令实战
场景1：用户自主修改密码
$passwdChanging passwordforcurrent user.(current)UNIX password: Enter new UNIX password: Retype new UNIX password: passwd: password updated successfully场景2：管理员强制重置密码
# 不需要知道原密码$sudopasswdusername New password: Retype new password:# 非交互式（某些发行版支持）$echo"NewPass123"|sudopasswd--stdin username场景3：密码策略验证
# 强制密码立即过期$sudopasswd-e username# 查看密码状态$sudopasswd-S username username P 01/15/20240999997-16.2 chpasswd命令实战
场景1：批量用户密码初始化
# 从文件批量设置密码$catusers.txt user1:Password@123 user2:Secure#456user3:Complex$789$sudochpasswd<users.txt# 一次性设置多个用户$echo-e"user1:Pass1\nuser2:Pass2"|sudochpasswd场景2：自动化脚本中的使用
#!/bin/bash# 自动化用户创建和密码设置脚本USERNAME="newuser"PASSWORD=$(openssl rand -base6412)# 创建用户sudouseradd-m$USERNAME# 设置密码（绕过PAM策略）echo"$USERNAME:$PASSWORD"|sudochpasswd# 记录日志echo"$(date): Created user$USERNAME">>/var/log/user_mgmt.log场景3：使用加密的密码
# 生成加密密码$ENCRYPTED=$(opensslpasswd-6"MyPassword")$6$salt$encrypted_string# 使用加密密码$echo"user:$6$salt$encrypted_string"|sudochpasswd -e7. 安全最佳实践
7.1 何时使用哪个命令
使用passwd的情况：
- 最终用户自行更改密码
- 需要强制执行密码策略
- 需要完整的审计追踪
- 生产环境中的单用户密码管理
使用chpasswd的情况：
- 大规模用户初始化
- 自动化部署脚本
- 密码恢复/紧急重置
- 测试环境批量设置
7.2 增强chpasswd的安全性
#!/bin/bash# 安全使用chpasswd的封装脚本validate_password(){# 自定义密码策略检查localpass="$1"[[${#pass}-ge8]]||return1[["$pass"=~[A-Z]]]||return1[["$pass"=~[a-z]]]||return1[["$pass"=~[0-9]]]||return1[["$pass"=~[!@#$%^&*] ]] || return 1return0}safe_chpasswd(){localuser="$1"localpass="$2"ifvalidate_password"$pass";thenecho"$user:$pass"|sudochpasswd logger"Password changed for$uservia safe_chpasswd"elseecho"Error: Password does not meet policy">&2return1fi}# 使用示例safe_chpasswd"testuser""Secure@Pass123"7.3 监控与审计配置
# 增强chpasswd的审计（添加audit规则）$sudoauditctl -w /usr/sbin/chpasswd -p x -k password_changes# 监控shadow文件修改$sudoauditctl -w /etc/shadow -p wa -k shadow_modification8. 故障排查与调试
8.1 调试passwd的PAM问题
# 启用PAM调试$sudoPAM_DEBUG=1passwdusername# 检查PAM配置$sudopam_tally2 --user=username $sudofaillock --user=username# 测试PAM配置$sudopam-auth-update8.2 chpasswd问题排查
# 检查加密算法支持$ authconfig --test|grephashing# 验证shadow文件格式$sudopwck# 测试密码加密$ python3 -c"import crypt; print(crypt.crypt('test', crypt.mksalt(crypt.METHOD_SHA512)))"9. 结论与推荐
| 维度 | 推荐选择 | 理由 |
|---|---|---|
| 安全性 | passwd | 完整的PAM策略执行和审计 |
| 批量操作 | chpasswd | 效率高，适合自动化 |
| 合规要求 | passwd | 满足安全审计要求 |
| 临时/测试 | chpasswd | 快速简便 |
| 生产环境 | passwd为主，chpasswd需封装 | 平衡安全与效率 |
最终建议：
- 在自动化脚本中使用chpasswd时，务必添加自定义密码策略检查
- 生产环境中，考虑开发封装脚本，结合两者的优点
- 定期审计密码更改日志，特别是chpasswd的使用记录
- 根据组织安全策略，可能需要完全禁用chpasswd，强制使用passwd
附录：相关配置文件位置
/etc/pam.d/ ├── passwd # passwd的PAM配置 ├── system-auth # 系统认证通用配置 └── chpasswd # 某些系统可能存在的配置 /etc/login.defs # 密码加密算法默认设置 /etc/security/ ├── pwquality.conf # 密码质量策略 └── limits.conf # 系统限制通过深入理解passwd和chpasswd的底层差异，系统管理员可以更安全、高效地管理Linux系统中的用户认证，在便利性与安全性之间找到最佳平衡点。
