CentOS密码到底存在哪个配置文件里？

在CentOS系统中,密码存储位置和管理方式是系统管理员需要了解的重要知识点，本文将详细解析CentOS系统中密码相关的存储位置、加密方式及管理方法，帮助用户更好地理解和维护系统安全。

密码存储的核心位置

CentOS系统中的密码并非以明文形式存储,而是经过加密处理，主要涉及以下两个关键文件：

1. /etc/shadow文件
   该文件是系统密码的核心存储位置，存储了用户的加密密码及其他密码相关信息，文件格式为每行一个用户，共9个字段，以冒号分隔：

   root:$6$xyzabc...::0:99999:7:::

   第二个字段即为加密后的密码字符串,若该字段为空，表示用户无需密码即可登录；若为”!”，表示账户被锁定。

2. /etc/passwd文件
   虽然该文件主要存储用户基本信息，但与密码管理密切相关，其第二个字段在早期系统中存储加密密码，现代CentOS系统中该字段被标记为”x”，表示密码信息已移至/etc/shadow文件。

密码加密机制

CentOS默认使用SHA-512算法（以$6$为前缀）加密密码，也可通过配置使用其他算法（如SHA-256、MD5等），加密字符串的格式为：

$算法ID$迭代次数$盐值$加密结果

$6$rounds=4096$salt$hash

• 算法ID：6代表SHA-512，5代表SHA-256，1代表MD5
• 迭代次数：增加破解难度
• 盐值：随机生成的字符串，防止彩虹表攻击

密码策略配置

系统密码策略可通过/etc/login.defs和/etc/security/pwquality.conf文件进行精细化管理：

密码有效期设置（/etc/login.defs）

PASS_MAX_DAYS   90    # 密码最长有效期
PASS_MIN_DAYS   7     # 密码最短有效期
PASS_WARN_AGE   7     # 密码过期前警告天数

密码复杂度要求（/etc/security/pwquality.conf）

minlen = 8          # 最小长度
minclass = 3        # 必须包含的字符类别（大写、小写、数字、特殊字符）
dcredit = -1        # 至少包含1个数字
ucredit = -1        # 至少包含1个大写字母

密码管理命令

命令	功能描述	示例用法
passwd	修改用户密码	passwd username
chage	修改密码策略	chage -M 90 username
usermod -L	锁定用户密码	usermod -L username
usermod -U	解锁用户密码	usermod -U username
chpasswd	批量修改密码	echo "user:pass" | chpasswd

安全建议

1. 定期更换密码：建议根据/etc/login.defs中的策略定期更新密码
2. 禁用空密码：检查/etc/shadow中是否存在空密码字段
3. 使用sudo替代root：通过/etc/sudoers配置普通用户的sudo权限
4. 监控密码变更：使用auditd工具记录密码修改操作

常见问题排查

1. 忘记root密码：

   • 重启系统进入GRUB菜单,选择编辑启动项
   • 在linux16行后添加rd.break
   • 按Ctrl+X进入紧急模式，重新挂载根目录并重置密码

2. 密码策略冲突：

   

   • 若/etc/login.defs与/etc/security/pwquality.conf设置冲突，以后者为准
   • 使用passwd -S username查看当前密码状态

---

FAQs

Q1: 如何查看用户密码的加密算法？
A1: 使用grep username /etc/shadow命令，查看密码字段的前缀，例如$6$表示SHA-512算法，$1$表示MD5算法。

Q2: 为什么修改密码后/etc/passwd文件中的密码字段仍显示为x？
A2: 这是正常现象，现代Linux系统设计将密码哈希值存储在/etc/shadow文件中，而/etc/passwd文件中的”x”仅作为占位符，表示密码信息已迁移至安全文件，这种设计增强了密码管理的安全性。