用户密码被改怎么办

zealveryme

小弟遇到这样一个问题，请给位帮忙看看，，描述如下：
系统 SUSE Linux Enterprise Server 10
今天登陆发现root无法登陆，提示密码错误，怀疑密码被改。
还有个guest用户可以登录，问题是：
1.如何查看这个root密码是什么时间被改的，
2.修改人的ip地址如何能得到。
3.最后如何能找回root密码，

最想知道的是前两个问题。大家帮忙出出主意。

chenyx

检查下/var/log/secure日志,看看有没有异常

笑脸松鼠

look into '/var/log/secure' to determine if there's anyone change root password and the time as well. The output message looks like this:
[root@local opt]# grep 'passwd:chauthtok' /var/log/secure
Jul 24 13:44:18 local passwd: pam_unix(passwd:chauthtok): password changed for root

Then, use 'last' command and 'change time' to determine the login IP address from which to change root password.
[root@local opt]# last
root     pts/0        8.8.8.8   Wed Jul 2 13:34   still logged in   
reboot   system boot  2.6.18-308.el5   Mon Jul 22 08:37      
root    8.8.8.8 Mon Jun 2 08:16 - down   (00:1   
root      8.8.8.8 Mon Jun 2 08:16 - down   (00:1   
root     pts/0        10.200.124.130   Mon Jul 22 08:11 - down  
reboot   system boot  2.6.18-308.el5   Mon Jul 22 07:58        
root     pts/1    8.8.8.8 Mon Jul 22 07:41 - down  
root  8.8.8.8 Mon Jul 2 07:40 - down   
root   8.8.8.8 Mon Jul 2 07:40 - down   
root     pts/0        8.8.8.8   Mon Jul 22 07:35 - down

dooza

用救援模式进去，可以更改密码，如果上面的/var/log/secure没有相关信息，你最好先备份一下/etc/shadow和/etc/passwd 2个文件，这里可以看出最后一次修改密码的日期。

Linux-绍明

可以把机子的登录信息调出来，就可以看到ip地址，不过如果他擦除了记录，就不行了。

Linux-绍明

netstat -a

zhaopingzi

找管理员问去，这种事只有他干的出来