Linux 安全运维必知：pwunconv 命令详解，关闭影子密码机制

1. 命令简介

pwunconv 是一个用于关闭用户投影密码（影子密码）的 Linux 系统管理命令。它的主要功能是将用户密码从 /etc/shadow 文件移回 /etc/passwd 文件，并删除 /etc/shadow 文件，从而禁用影子密码机制。该命令通常与 pwconv 命令配合使用，用于恢复传统的密码存储方式或进行特定的系统维护。

2. 语法格式

plaintext

pwunconv [选项]

说明：该命令通常无需额外选项。执行需要 root 权限。

3. 常用选项及说明

pwunconv 命令本身没有常用选项。其行为是固定的：

• 读取 /etc/shadow 文件。
• 将密码信息写回 /etc/passwd 文件的对应条目。
• 删除 /etc/shadow 文件。

4. 示例用法

示例 1：关闭影子密码

直接运行 pwunconv 命令即可关闭影子密码：

plaintext

sudo pwunconv

执行后，系统会将所有用户的密码从 /etc/shadow 移回 /etc/passwd。

示例 2：验证密码已移回 passwd 文件

执行 pwunconv 后，可以检查指定用户的密码是否已存在于 /etc/passwd 中：

plaintext

# 假设用户名为 testuser cat /etc/passwd | grep testuser

输出示例（密码字段将显示加密后的字符串，而非 x）：

plaintext

testuser:6nYOEWamm$bz07nlv...:1001:1001::/home/testuser:/bin/bash

示例 3：确认 shadow 文件已被删除

关闭影子密码后，/etc/shadow 文件将被移除：

plaintext

ls -l /etc/shadow

输出示例：

plaintext

ls: cannot access /etc/shadow: No such file or directory

5. 注意事项

• 权限要求：执行 pwunconv 必须具有 root 权限（使用 sudo 或直接以 root 用户运行）。
• 安全性风险：关闭影子密码后，用户密码将存储在 /etc/passwd 文件中，该文件默认对所有用户可读。这会降低系统安全性，因为加密的密码哈希可能被非特权用户获取并进行破解尝试。不建议在生产环境中使用此命令。
• 与 pwconv 的关系：pwunconv 是 pwconv 的逆操作。pwconv 用于启用影子密码（将密码从 /etc/passwd 移至 /etc/shadow），而 pwunconv 则将其恢复。
• 系统兼容性：某些系统服务或应用程序可能依赖于影子密码机制。关闭影子密码可能导致这些服务行为异常。
• 备份建议：在执行 pwunconv 前，建议备份 /etc/passwd 和 /etc/shadow 文件，以便需要时恢复。
• 重新启用影子密码：如需重新启用影子密码，可运行 pwconv 命令。

6. 总结

pwunconv 是一个用于特定管理场景的工具，主要用于禁用影子密码功能。由于会降低系统安全性，应谨慎使用，并仅在测试或恢复场景下考虑。