新增支持 shadow 程序事实上是很直接的。 唯一的问题是程序需要以 root (或 SUID root)
权限执行，这样才可以存取 /etc/shadow 档。
这显示一个大问题： 当建立 SUID 程序时需要很小心依照程序运作。举例说明： 如果以个 程序有 shell escape，如果程序本身是 SUID root 将不需要以 root 方式呈现。
对程序新增支持 shadow 而言，它可以检查密码，但不需以 root 权限执行，而是以 SUID
shadow 取代执行比较安全。 xlock 程序就是一个例子。
接下来范例介绍， pppd-1.2.1d 已经以 SUID as root 方式执行，所以新增 shadow
支持应该不会使程序产生任何影响。
标头档应存在 /usr/include/shadow。 应该有一个 /usr/include/shadow.h档，
但是它将 symbolic link 到 /usr/include/shadow/shadow.h。
为了新增支持 shadow 程序，你需要 include 标头档：
#include <shadow/shadow.h> #include <shadow/pwauth.h>
当你安装 Shadow Suite， libshadow.a 档被建立和安装在
/usr/lib 目录。
当编译一个 shadow support 程序，linker 需要包括 libshadow.a 函式库进入链结。
执行如下：
gcc program.c -o program -lshadow
然而，就像我们接下来要看的例子，大部分大程序使用 Makefile 且
通常有变数呼叫 LIBS=... 需要被修改。
libshadow.a 函式库对它从 /etc/shadow 档接收信息使用结构化呼叫。
这是从 /usr/include/shadow/shadow.h 标头档的 spwd 结构定义：
struct spwd
{
char *sp_namp; /* login name */
char *sp_pwdp; /* encrypted password */
sptime sp_lstchg; /* date of last change */
sptime sp_min; /* minimum number of days between changes */
sptime sp_max; /* maximum number of days between changes */
sptime sp_warn; /* number of days of warning before password
expires */
sptime sp_inact; /* number of days after password expires
until the account becomes unusable. */
sptime sp_expire; /* days since 1/1/70 until account expires
*/
unsigned long sp_flag; /* reserved for future use */
};
Shadow Suite 可以放除了编码密码之外的资料到 sp_pwdp 栏位。
密码栏位可包括：
username:Npge08pfz4wuk;@/sbin/extra:9479:0:10000::::
这表示一个额外的密码， /sbin/extra 程序应该被更多的权限呼叫。
程序的呼叫需取得使用者名称和指出为何需被呼叫的 switch才可通过。 查看
/usr/include/shadow/pwauth.h 和原始码 pwauth.c 获得更多信息。
为何我们应使用 pwauth 去表示真正的权限，这是什么意思，它将使第二组权限也
跑得很好。
Shadow Suite 作者指出因为大部分存在的程序都不这么作啰，所以 Shadow Suite未来的版本将移除。
shadow.h 包含 libshadow.a 函式库：
extern void setspent __P ((void)); extern void endspent __P ((void)); extern struct spwd *sgetspent __P ((__const char *__string)); extern struct spwd *fgetspent __P ((FILE *__fp)); extern struct spwd *getspent __P ((void)); extern struct spwd *getspnam __P ((__const char *__name)); extern int putspent __P ((__const struct spwd *__sp, FILE *__fp));
我们将使用的范例程序是： getspnam 将对供应名称恢复对我们 spwd 结构。
这是一个范例描述新增 shadow 支持程序，但预设值并没有。
本范例使用 Point-to-Point Protocol Server (pppd-1.2.1d)，它有个模式是表示
从 /etc/passwd 档取代 PAP 或 CHAP 档使用帐号密码的 PAP
权限，你将不需要在 pppd-2.2.0 加这些程序码，因为它已经存在啰。
pppd 的未来大致上不会被使用很多，但是如果你安装 Shadow Suite，储存在
/etc/passwd 档的密码将无法运作。
在 pppd-1.2.1d 权限使用的程序码是位在 /usr/src/pppd-1.2.1d/pppd/auth.c 档。
接下来程序码需要被加在所有其他 #include 指令文档的最上头，我们将注意有环境指令的
#includes。
#ifdef HAS_SHADOW #include <shadow.h> #include <shadow/pwauth.h> #endif
接下来要做的事情是变更实际码， 我们将变更 auth.c 档。
变更前 auth.c 档 function 为：
/*
* login - Check the user name and password against the system
* password database, and login the user if OK.
*
* returns:
* UPAP_AUTHNAK: Login failed.
* UPAP_AUTHACK: Login succeeded.
* In either case, msg points to an appropriate message.
*/
static int
login(user, passwd, msg, msglen)
char *user;
char *passwd;
char **msg;
int *msglen;
{
struct passwd *pw;
char *epasswd;
char *tty;
if ((pw = getpwnam(user)) == NULL) {
return (UPAP_AUTHNAK);
}
/*
* XXX If no passwd, let them login without one.
*/
if (pw->pw_passwd == '\0') {
return (UPAP_AUTHACK);
}
epasswd = crypt(passwd, pw->pw_passwd);
if (strcmp(epasswd, pw->pw_passwd)) {
return (UPAP_AUTHNAK);
}
syslog(LOG_INFO, "user %s logged in", user);
/*
* Write a wtmp entry for this user.
*/
tty = strrchr(devname, '/');
if (tty == NULL)
tty = devname;
else
tty++;
logwtmp(tty, user, ""); /* Add wtmp login entry */
logged_in = TRUE;
return (UPAP_AUTHACK);
}
使用者的密码被放在 pw->pw_passwd，所以我们需新增 getspnam
function，这将会把密码放到 spwd->sp_pwdp。
我们将新增 pwauth function 来表示真正的权限。 这将在 shadow 档设定时
自动产生第二个权限。
变更为可以支持 shadow 后的 auth.c function：
/*
* login - Check the user name and password against the system
* password database, and login the user if OK.
*
* This function has been modified to support the Linux Shadow Password
* Suite if USE_SHADOW is defined.
*
* returns:
* UPAP_AUTHNAK: Login failed.
* UPAP_AUTHACK: Login succeeded.
* In either case, msg points to an appropriate message.
*/
static int
login(user, passwd, msg, msglen)
char *user;
char *passwd;
char **msg;
int *msglen;
{
struct passwd *pw;
char *epasswd;
char *tty;
#ifdef USE_SHADOW
struct spwd *spwd;
struct spwd *getspnam();
#endif
if ((pw = getpwnam(user)) == NULL) {
return (UPAP_AUTHNAK);
}
#ifdef USE_SHADOW
spwd = getspnam(user);
if (spwd)
pw->pw_passwd = spwd->sp-pwdp;
#endif
/*
* XXX If no passwd, let NOT them login without one.
*/
if (pw->pw_passwd == '\0') {
return (UPAP_AUTHNAK);
}
#ifdef HAS_SHADOW
if ((pw->pw_passwd && pw->pw_passwd[0] == '@'
&& pw_auth (pw->pw_passwd+1, pw->pw_name, PW_LOGIN, NULL))
|| !valid (passwd, pw)) {
return (UPAP_AUTHNAK);
}
#else
epasswd = crypt(passwd, pw->pw_passwd);
if (strcmp(epasswd, pw->pw_passwd)) {
return (UPAP_AUTHNAK);
}
#endif
syslog(LOG_INFO, "user %s logged in", user);
/*
* Write a wtmp entry for this user.
*/
tty = strrchr(devname, '/');
if (tty == NULL)
tty = devname;
else
tty++;
logwtmp(tty, user, ""); /* Add wtmp login entry */
logged_in = TRUE;
return (UPAP_AUTHACK);
}
严谨的范例将启发我们在作其他改变的帮助。 原始的版本如果在 /etc/passwd 档
没有任何密码，可允许存取传回的 UPAP_AUTHACK 。这是不好的，因为
签入的使用是使用一个允许存取 PPP process的帐号，然后检查帐号密码，该帐号密码是由
RAP 、在 /etc/passwd 档的帐号和 /etc/shadow 档的密码供应。
所以如果我们设定原本版本对每个使用者，如 ppp 可以在 shell 执行，然后任何人可以
获得 ppp 链结透过设定他们对使用者 ppp 的 PAP 和 null 的密码。
我们修正 UPAP_AUTHNAK 取代
UPAP_AUTHACK 如果密码栏位是空的。
有趣的是 pppd-2.2.0 有相同的问题。
接下来我们需要变更 Makefile 以便让两件事发生：
USE_SHADOW 必须被重新定义且libshadow.a 需要被新增到链结 process。
编辑 Makefile 且新增：
LIBS = -lshadow
然后我们找到这一行：
COMPILE_FLAGS = -I.. -D_linux_=1 -DGIDSET_TYPE=gid_t
然后改变它变成：
COMPILE_FLAGS = -I.. -D_linux_=1 -DGIDSET_TYPE=gid_t -DUSE_SHADOW
现在执行 make 跟 install.