使用 John the Ripper 检测 Linux 弱口令最稳妥的方式是在离线环境中对 shadow 文件副本进行审计，避免直接在生产环境高负载运行。
先说结论：这是一个离线密码审计工具，需要 root 权限提取哈希，适合定期安全自查而非实时监控。
- 先判断：确认操作环境是否为非业务高峰期，避免 CPU 满载影响服务。
- 优先做：备份 /etc/passwd 和 /etc/shadow 到临时目录后再处理，不要直接操作原文件。
- 再验证：使用 john `--show` 查看破解结果，并及时修改已泄露的弱口令。
- 必清理：审计结束后必须安全删除包含哈希的临时文件，防止泄露。
环境准备与安装
确保拥有 root 权限，并通过包管理器安装工具。操作前请确认当前为非业务高峰期。
# Ubuntu/Debian
apt install john
# CentOS/RHEL
yum install john核心检测步骤
1. 备份文件：将系统密码文件复制到临时工作目录，并限制权限。
cp /etc/passwd ./passwd_backup
cp /etc/shadow ./shadow_backup
chmod 600 ./shadow_backup2. 合并哈希：使用 unshadow 生成 John 可识别的格式。
unshadow ./passwd_backup ./shadow_backup > hash.txt3. 开始检测：默认使用内置字典进行尝试。
john hash.txt进阶：自定义字典与性能控制
默认字典覆盖率有限，建议结合 rockyou.txt 等常用字典库使用。生产环境运行需限制 CPU 优先级。
# 指定自定义字典
john `--wordlist`=/path/to/rockyou.txt hash.txt# 限制 CPU 优先级 (nice)
nice -n 19 john hash.txt# 指定破解模式 (如增量模式)
john `--incremental` hash.txt结果验证
运行以下命令查看已破解的密码。若输出用户名和明文密码，则检测成功。
john `--show` hash.txt同时检查系统日志，确认没有因操作引发异常锁定。
安全清理与风险规避
直接复制 shadow 文件若未彻底删除存在泄露风险，审计结束后必须安全删除临时文件。
# 安全删除哈希文件 (覆盖写入后删除)
shred -u hash.txt# 删除备份文件
rm -f ./passwd_backup ./shadow_backup若系统未安装 shred，可使用 rm -P (macOS) 或确保磁盘空间被覆盖。
常见故障排查
1. 权限不足：未使用 root 运行会导致无法读取 shadow 文件，命令直接报错。
2. 生产风险：在高负载服务器上运行暴力破解可能占用大量 CPU，建议限制进程优先级或离线处理。
3. 字典局限：未指定高质量字典可能无法发现复杂弱口令，建议补充常用弱口令字典。
原文链接：https://www.zjcp.cc/ask/11392.html