我遇到一个奇怪的问题，我的服务器中的一个用户能够使用任何密码登录，其前八个字符与用户的实际密码相同。例如，如果用户的实际密码为abcdefgh，则使用abcdefgh作为密码登录，以及abcdefgh2002或abcdefghijkl成功，但不会{{1 }}。我正在使用PAM与影子文件。关注的用户在/ etc / shadow文件中有一个密码哈希值，但就我所见，它没有任何盐。
我用我自己的帐户尝试过，但没有成功登录。
答案 0 :(得分：3)
该用户有一个古老的crypt哈希值。它是盐渍的，但它只使用密码的前八个字符。
您可以通过查看/etc/shadow中的哈希来验证这一点，如果它不是以$n$标记开头来指示哈希方法，那么它使用原始的unix crypt hash只使用前八个字符。有关详细信息，请参阅crypt(3)。
如果他更改了密码，即使是相同的东西，也会更新密码以使用系统上默认设置的任何哈希值，这通常比SHA512更现代和更安全。
顺便说一句，在那些旧式哈希中，盐只是哈希的前两个字符，这就是为什么你认为没有哈希的原因。较新的哈希看起来像$id$salt$encrypted，这可能是你习惯的，但旧的哈希只有十三个字符，前两个是盐。