Shadow Vault 🔐

Shadow Vault は、システム管理者が共有ホスティング環境の shadow ファイルに新しいユーザー認証情報を安全に追加するために設計された、軽量な PHP Web ツールです。既存の shadow エージング形式を自動検出し、SHA-512 パスワードハッシュを使用し、複数の書き込みフォールバック方式に対応し、さらに cPanel Webmail（ポート 2096）へのワンクリック自動ログインも提供します。

⚠️ 免責事項: このツールは正当なサーバー管理専用です。あなたが所有していないシステムへの不正アクセスや使用は違法です。自己責任で使用してください。

特徴

• ✅ SHA-512 パスワードハッシュ（ランダムソルト付き、$6$）
• ✅ 動的な shadow エージング検出 – 既存エントリを読み取り、元の lastchange:min:max:warn:inactive:expire:reserved 形式を保持
• ✅ マルチメソッド書き込み – file_put_contents、fopen/flock、temp+rename、system、exec、shell_exec、proc_open、popen、passthru、copy、stream_copy_to_stream などを含む 14 のフォールバック方式
• ✅ 全 shadow ファイルを自動検出 – /home/*/etc/*/shadow 内を自動スキャン。手動設定は不要
• ✅ ドメインを自動検出 – 既存の shadow パスまたはサーバーのホスト名から取得（ドロップダウン選択式）
• ✅ 仮想 passwd サポート（オプション） – メールサーバーが必要とする場合に /etc/virtual/*/passwd へ書き込み。ログインが既に機能していれば、重要ではありません
• ✅ ワンクリック自動ログイン – user / pass フィールドを使用した POST で https://domain:2096/login/（cPanel Webmail 標準）に自動送信
• ✅ クリック可能なログイン URL – 新しいタブで Webmail ログインページを開きます
• ✅ パスワードコピーボタン – 最新の Clipboard API と execCommand へのフォールバックに対応
• ✅ レスポンシブなテーブル出力 – デスクトップとモバイルで動作
• ✅ データベース不要 – 単一の PHP ファイルのみ

仕組み

1. スクリプトは get_current_user() で現在のユーザーを特定します。
2. /home/username/etc/*/shadow 内のすべての既存 shadow ファイル（ドメインごとに 1 つ）をスキャンします。存在しない場合は、/home/username/etc/{domain}/shadow に新しい shadow ファイルを作成します。
3. ドメインは自動検出され、ドロップダウンセレクターに表示されます。
4. ローカル部分（例: john）とパスワードを入力します。
5. スクリプトは以下を実行します:
   • パスワードの SHA‑512 ハッシュを生成します。
   • 既存の shadow ファイル内の有効な行からエージングサフィックスを抽出します（フォールバック: 19400:0:99999:7:::）。
   • 見つかったすべての shadow ファイル（または新しく作成されたファイル）に新しい行 localpart:hash:aging_suffix を追加します。
   • （オプション）同じ認証情報を /etc/virtual/{domain}/passwd に書き込もうとします。システムが shadow 認証を使用している場合、失敗してもログインには影響しません。
6. 成功すると、以下のテーブルが表示されます:
   • クリック可能な Webmail URL（https://domain:2096）
   • 完全なユーザー名（localpart@domain）
   • パスワード（コピーボタン付き）
   • 自動ログインボタン – 新しいタブを開き、POST リクエストで自動ログインします。

インストール

1. shadow.php ファイルをホスティングアカウント内の任意のディレクトリ（例: public_html/shadow/）にアップロードします。
2. スクリプトが公開アクセスから保護されていることを確認します（下記のセキュリティ推奨事項を参照）。
3. ブラウザで URL を開きます – データベースや設定は不要です。

使用方法

1. ブラウザでツールにアクセスします。
2. 自動検出されたドロップダウンからドメインを選択します（ドメインが 1 つだけの場合は自動選択されます）。
3. ローカル部分（ドメインを含まないユーザー名）とパスワードを入力します。
4. 「アカウント追加」 をクリックします。
5. 成功すると、すべてのドメインとその認証情報を含むテーブルが表示されます。
6. 自動ログインボタンを使用して Webmail に即座にログインするか、URL をクリックしてログインページを手動で開きます。

セキュリティ推奨事項

• アクセスを制限する – .htaccess による Basic 認証または IP ホワイトリストを使用します。
• スクリプトを推測が困難なディレクトリ（例: /randomhash/）に配置します。
• 使用後はスクリプトをサーバーから削除します。
• URL を誰とも共有しないでください。

必要条件

• PHP 5.4+（フォールバック random_bytes ポリフィルにより古いバージョンにも対応）
• 対象の shadow ディレクトリ（/home/username/etc/）への書き込み権限
• 自動ログインを使用する場合: ブラウザで JavaScript が有効であること

例

入力:

• ドメイン: example.com（自動検出）
• ローカル部分: support
• パスワード: MyStr0ng!

出力テーブル:

shadow ファイルに追加されるエントリ:

support:$6$randomSalt$hashedPassword:19400:0:99999:7:::

ファイル構成

shadow-vault/
└── shadow.php          # メインスクリプト（サーバーにアップロード）

エラーハンドリング

• shadow ファイルが見つからず、作成にも失敗した場合 → No shadow files found. Check directory structure.
• 仮想 passwd への書き込みに失敗した場合 → 警告メッセージ（通常はログインは引き続き機能します）
• 14 すべての書き込み方法が失敗した場合 → Failed to write to shadow (all methods failed).
• 入力が空の場合 → Please fill username, password, and ensure domain is available.

自動ログインの技術詳細

スクリプトは、POST リクエストを送信する一時的な HTML フォームを生成します:

• URL: https://domain:2096/login/
• フィールド: user（完全なメールアドレス）と pass（平文パスワード）

これは標準の cPanel Webmail ログインフォームに対応しています。Webmail が異なるエンドポイントやフィールド名を使用する場合は、JavaScript の autoLogin() 関数を適宜変更できます。

ライセンス

MIT ライセンス – 自由に使用、変更、配布できます。作者は誤用について一切責任を負いません。

貢献

改善のための issue やプルリクエストは歓迎します。ツールをシンプルで教育的なものに保ってください。

⚠️ 免責事項 – よくお読みください

このツールは、許可されたサーバー管理者のみを対象としています。
本ソフトウェアを使用することにより、実行対象サーバーで shadow ファイルを変更する明示的な許可を持っていることを確認したことになります。

• あなたが所有していないシステムへの不正アクセスまたは使用は違法です。
• 作者は、誤用による損害、データ損失、または法的結果について一切責任を負いません。
• 自己責任で使用してください。 必ず安全な環境で最初にテストしてください。
• サーバーの所有者または権限のある管理者でない場合は、今すぐ停止し、このスクリプトを直ちに削除してください。

---

詳細な免責事項は、Jenderal92 のカバーに記載されています。こちらから確認できます !!!