Mae modiwl PAM yn anhysbys: pa broses sydd mewn gwirionedd wedi methu

Darllenwch yr ymadrodd hwnnw fel datganiad am wrthrych a rennir a phwyntiwr ffwythiant, nid am gyfrinair. Gall yr un geiriau ddod o OpenVPN ategyn, o stac PAM a lwythwyd ar gyfer un gwasanaeth, neu o du mewn i ddemonaid RADIUS, ac mae'r rheini'n dri ymchwiliad gwahanol. Dewiswch y broses yn gyntaf.

Mae'r gwiriadau isod yn tybio bod y neges wedi dod i'r amlwg drwy integreiddiad Linux-PAM ar fewngofnodi VPN. Os daeth o gyfluniad y gweinydd RADIUS ei hun, ei dystiolaeth ef yw'r man cychwyn.

Enwch y broses cyn enwi'r pecyn

Gelwir tri chydran yn fodiwl ac nid yw'r un ohonynt yn gyfnewidiol. Mae ategyn dilysu OpenVPN yn cael ei lwytho gan ddemonaid VPN ac yn gweithredu rhyngwyneb galwad yn ôl y demonaid hwnnw. Mae modiwl PAM yn wrthrych a rennir a lwythir gan libpam ar gyfer gwasanaeth a enwir, ac sy'n gweithredu pwyntiau mynediad fel pam_sm_authenticate. Mae modiwl FreeRADIUS yn rhan o gyfluniad y demonaid hwnnw ei hun. Gall neges â'r un geiriau ddod o unrhyw un o'r tri, felly'r cwestiwn cyntaf yw pa linell log a'i cynhyrchodd.

Cysylltwch stamp amser un ymgais aflwyddiannus ar draws log y VPN a log dilysu'r system, yna darllenwch y llinellau cyn y crynodeb. Mae neges benodol y llwythydd fel arfer eisoes yno.

Darllenwch y gwall llwytho, yna'r pwynt mynediad

Mae PAM yn adrodd am fodiwl anhysbys pan na all lwytho'r gwrthrych a rennir a ddewiswyd, neu pan nad yw'r gwrthrych a lwythwyd yn darparu'r ffwythiant y mae'r cofnod stac hwnnw'n ei gwneud yn ofynnol. Mae'r rhain yn atgyweiriadau gwahanol: y cyntaf yw problem llwybr, pecynnu neu ABI, a'r ail yw pwynt mynediad sy'n anghytuno. Mae llinell ddilysu angen pam_sm_authenticate tra bod llinell gyfrif angen pam_sm_acct_mgmt, a bydd llyfrgell sy'n gweithredu dim ond un ohonynt yn methu'r llall, fel y mae cod y trefnydd yn ei ddangos. Nid yw darganfod y ffeil ar y disg yn profi'r naill na'r llall.

Nid atgyweiriad yw cymryd llyfrgell ag enw tebyg o ddosbarthiad neu bensaernïaeth CPU wahanol, a gall adael proses yn llwytho modiwl nad oedd erioed wedi'i brofi yn erbyn ei libpam. Gwiriwch y pecyn sy'n berchen ar y llwybr arfaethedig a phensaernïaeth wirioneddol y ffeil cyn newid unrhyw beth.

Cadwch y gwarantau a oedd y stac yn eu rhoi

Y ffordd gyflymaf o dawelu'r gwall hwn yw'r ffordd waethaf hefyd: marcio modiwl gofynnol yn ddewisol, dileu'r cam cyfrif, neu fewnosod caniatâd diamod. Mae pob un o'r rhain yn troi gwiriad aflwyddiannus yn wiriad absennol, ac yna mae mewngofnodi'n llwyddo am resymau na fwriadodd neb. Nid yw ailosod cyfrineiriau a newidiadau i gyfrinach a rennir yn darparu ffwythiant coll ychwaith, oherwydd mae'r methiant yn digwydd cyn i unrhyw gymhwyster gyrraedd backend.

Efallai bod stac aml-fodiwl wedi rhedeg backend arall cyn y cofnod aflwyddiannus, felly nid yw'r gwall yn profi na chafodd unrhyw gais RADIUS ei anfon.

Gwiriwch y mewngofnodi yn hytrach na'r modiwl

Unwaith y mae'r anghytundeb wedi'i gywiro, profwch y llwybr derbyn gwirioneddol. Dylai cyfrif dilys lwyddo, dylai cymwysterau annilys fethu o hyd, a dylai cyfrif gwaherddiedig gael ei wrthod o hyd. Cadarnhewch hefyd fod unrhyw ofyniad tystysgrif neu ffactor ychwanegol yn dal i gael ei orfodi, oherwydd mae stac wedi'i atgyweirio sy'n hepgor cam yn edrych fel llwyddiant o safbwynt y cleient.

Mae modiwl yn llwytho'n lân yn gynnydd, nid yn brawf gorffenedig.

Cofnodwch pa enw gwasanaeth, pa ffeiliau polisi a pha bwyntiau mynediad oedd yn rhan, ynghyd â'r un ymgais a ddefnyddiwyd gennych fel tystiolaeth. Y cofnod hwnnw sy'n troi'r digwyddiad nesaf yn chwiliad yn lle ymarfer archaeoleg.