Подсоединиться по SSH и поменять пароль?

Question

[Алексей Лебедев]

В общем есть такая задача. Есть панель администратора, в которой есть функционал смена пароля пользователя.


Идея такая: вызываем из под PHP скрипт, который логинится по SSH к серверу под рутом и меняет пароль пользователя. Пароль рута мы знаем.


От моего предшественника достался такой код:

#!/usr/bin/expect
set USER [lindex $argv 0]
set PASS [lindex $argv 1]
set HOST [lindex $argv 2]

spawn ssh root@$HOST

expect "word:"
send "123456\r"
expect "$*"
send "echo \"$USER:$PASS\" | chpasswd  \r"
send "exit\r"
expect eof

Вызывается с помощью PHP так:

system("./do.py ".$user." ".$new_password." ".$did->did);

Выше приведенный код не работает, возможно проблема в некорректной обработки expect.


И мне кажется есть более нормальный вариант смены пароля. К сожалению ставить доп. софт и библиотеки на сервер и клиентов не могу. Я не могу что либо закидывать на остальные ПК, даже файлы ключей.

Как лучше всего соединиться с сервером и поменять пароль?

Comments

[sledopit]

Прежде всего освойте авторизацию по ключам и не храните root пароль plain text'ом.

[smartlight]

А вы сам скрипт пробовали запускать с заданными параметрами?
Использование ключа будет намного проще и лучше.

[Алексей Лебедев]

К сожалению, такой вариант мне не подойдет. Я не смогу что либо закидывать на остальные ПК, даже файлы ключей.

У меня есть список адресов и паролей рутов.

[Алексей Лебедев]

Насчет запуска. Протестить на реальном оборудовании я не могу. На локальном все отлично менялось.

Answer 1

[Stdit]

Теоретически, можно уменьшить количество лишних сущностей, если передать всю команду одной строкой.
Как-то так (пароли заслэшить):

ssh user@host 'echo -e "password\npassword" | passwd username

Comments

[Stdit]

' в конце

[catharsis]

я как-то делал bash-скрипт для задания паролей пользователям, expect тогда не знал, было что-то вроде:
pw=`pwgen`
{sleep 1; echo $pw; sleep 1; echo $pw; } | passwd $user
без задержек не работало.

[Stdit]

Странно. Я попробовал только что на виртуалке с CentOS:

$ ssh localhost -p 2222 'echo -e "123\n123" | passwd test'
Новый пароль : НЕУДАЧНЫЙ ПАРОЛЬ: СЛИШКОМ короткий
НЕУДАЧНЫЙ ПАРОЛЬ: слишком простой
Повторите ввод нового пароля : Смена пароля для пользователя test.
passwd: все токены проверки подлинности успешно обновлены.

[catharsis]

по сути же, нужно применить исключительные меры в связи с потенциальной доступностью рутового пароля или ключа или возможностью сменить пароль любому пользователю в системе (в т.ч. руту) при каких-либо проблемах со скриптом (он например world-readable, или неправильно проверяет входные данные, или при какой-нибудь ошибке показывает часть скрипта в вывод, или еще тысячи всевозможных или).

[Stdit]

Согласен.

Answer 2

[Алексей]

Какая-то дикая жесть…

$connection = ssh2_connect($server_host, 22);
if(ssh2_auth_password($connection, $login, $password)){
        $stdio = ssh2_exec($connection, $command);
        stream_set_blocking($stdio, 1);
}

Обработать ошибки и сочинить $command сможете?

Comments

[Алексей Лебедев]

Хорошо бы без ssh2, я обговорю с руководством установку этого модуля. Но маловероятно, что одобрят.

[Алексей]

Либо используйте ключи, тогда тот же system(«ssh -i /path/to/key root@host command»)

Answer 3

[BasilioCat]

Можете попробовать заменить этот скрипт на expect на утилиту sshpass (придется поставить дополнительно)
sshpass -p password ssh root@host «echo user1:passwd1 | chpass»
из соображений безопасности лучше пароль передавать через файл или переменную окружения (такая возможность есть)

Ну а правильный метод (который и рекомендовали выше) — сгенерить ключ
ssh-keygen
и пройтись по всем серверам (раз уж пароль рута вам известен), и вписать этот ключ для доступа через ssh
cat /root/.ssh/id_rsa.pub | ssh root@host «cat >> /root/.ssh/authorized_keys»
после чего вы будете ходить по всем серверам без пароля

Answer 4

[mcleod095]

ну для смены пароля в sh скриптах я бу не рекомендовал использовать команду passwd
лучше использовать команду chpasswd
echo «user:password» | chpasswd

Comments

[mcleod095]

ой, сорри, не заметил что она и используется в скрипте