让 Dropbear 更好地支持 PAM
Dropbear 是一套来自澳大利亚的 *nix SSH 工具集，以体积微小著称，因此在嵌入式环境被广泛中使用。Dropbear 支持 Linux PAM，但直到目前最新的 0.52 版本，它对 PAM 的支持仍极其有限，只能做基本的身份认证（auth、account），不支持会话与密码管理（session、password）。在使用时，我发现即使是 Dropbear 已实现的 PAM 特性也存在一些不大不小的问题，需要自己动手解决。不过作者在 configure 的帮助中已经说明了现在只是“Try to include PAM support”，并且在与 PAM 相关的源代码注释中多次告知用户可以在什么地方 add、edit、hack 一些代码来满足自己特定的需求。我在编译部署 Dropbear 时，为了正常使用 PAM 认证，做了如下工作（基于 0.52 版本）：
1．开启 PAM 支持
不要以为 configure 时加入 --enable-pam 参数就开启了 PAM 支持，仔细看 configure 输出的最后一句：Now edit options.h to choose features。我们需要自行修改 options.h，定义 ENABLE_SVR_PAM_AUTH 宏，同时将与其冲突的 ENABLE_SVR_PASSWORD_AUTH 宏注释掉，这样 PAM 相关的代码才会被启用。
2．修正每次 PAM 会话（conversation）之后立即销毁密码的 bug
svr-authpam.c 中的 pamConvFunc 函数实现了将客户端消息传递给服务端 PAM 的会话。为安全起见，第 119 行使用 m_burn 函数将用完的消息中的密码销毁（使用 0x66 字符覆盖）。但我们知道，在一次 pam_authenticate 调用中有可能配置了多个 PAM（pam_unix.so、pam_ldap.so……）陆续调用应用程序提供的会话函数来取用户名、密码，如果在第一次会话之后立即销毁密码，后续的会话就无法正常工作了。因此，需要等待所有 PAM 会话结束之后再销毁密码。我们可以注释掉 119 行；而 pam_authenticate 之后销毁密码的工作在 svr_auth_pam 函数中已经实现，不用新增。
3．去除 PAM 会话函数只识别“password:”提示符为密码消息的限制
svr-authpam.c 的第 101 行限制了密码消息的提示符为“password:”，但一些 PAM 有可能使用其它自定义的提示符，这使得 Dropbear 拒绝传送密码。事实上像 OpenSSH 等软件只是通过消息的类型为 PAM_PROMPT_ECHO_OFF 来认定其内容为密码，而不在意提示符是什么。因此，我们可以去除此处对提示符的判断，让使用自定义提示符的 PAM 也能与之兼容。
4．解决 PAM 和基于 NSS 的用户映射无法同时工作的问题
有的应用系统结合使用 PAM 以及 GNU C Library 提供的 NSS 特性实现应用级的用户到本地系统用户的映射。在这类系统中，用户提供给 PAM 的应用级用户名在 NSS 中被映射为本地系统级用户名，用户只持有应用级的密码而不用知道本地系统级的密码。login、OpenSSH、vsftp 等程序对此种需求的支持良好，但 Dropbear 的实现却是首先调用 getpwnam 获得本地系统级用户名（已经由 NSS 映射过的），再用这个用户名去调用 PAM 认证，这就使得 PAM 得到的是“本地系统级用户名+应用级密码”的组件，自然验证失败。我们可以修改 Dropbear 的实现，在 svr-authpam.c 的 recv_msg_userauth_request 函数中保存客户端输入的用户名，在 svr-authpam.c 的 svr_auth_pam 函数中读取前面保存的用户名，而不要使用 NSS 输出在 ses.authstate.pw_name 的本地用户名。
所有修改如下，如果你也需要在 Dropbear 中支持 PAM 认证，可以直接打上这些 patch。我有空向 Dropbear 的作者反馈一下吧。
- dropbear-0.52$ cat options.h.diff
- 152c152
- < #define ENABLE_SVR_PASSWORD_AUTH
- ---
- > /*#define ENABLE_SVR_PASSWORD_AUTH*/
- 154c154
- < /*#define ENABLE_SVR_PAM_AUTH*/
- ---
- > #define ENABLE_SVR_PAM_AUTH
- dropbear-0.52$ cat svr-auth.c.diff
- 36a37,38
- > char client_login_username[256];
- >
- 142a145,146
- > strncpy(client_login_username, username, 256);
- >
- dropbear-0.52$ cat svr-authpam.c.diff
- 41a42,43
- > extern char client_login_username[256];
- >
- 101c103
- < if (!(strcmp(compare_message, "password:") == 0)) {
- ---
- > if (/*!(strcmp(compare_message, "password:") == 0)*/ 0) {
- 119c121
- < m_burn(userDatap->passwd, strlen(userDatap->passwd));
- ---
- > /*m_burn(userDatap->passwd, strlen(userDatap->passwd));*/
- 198c200
- < userData.user = ses.authstate.pw_name;
- ---
- > userData.user = m_strdup(client_login_username);
- 247a250,252
- > if (userData.user != NULL) {
- > m_free(userData.user);
- > }
