Shadow Vault 🔐

Shadow Vault는 시스템 관리자가 공유 호스팅 환경에서 shadow 파일에 새 사용자 자격 증명을 안전하게 추가할 수 있도록 설계된 경량 PHP 웹 도구입니다. 기존 shadow aging 형식을 자동으로 감지하고, SHA-512 비밀번호 해싱을 사용하며, 여러 쓰기 대체 방법을 지원하고, cPanel 웹메일(포트 2096)에 대한 원클릭 자동 로그인까지 제공합니다.

⚠️ 고지: 이 도구는 합법적인 서버 관리 전용으로 제작되었습니다. 귀하가 소유하지 않은 시스템에 대한 무단 접근 또는 사용은 불법입니다. 사용에 따른 책임은 본인에게 있습니다.

기능

✅ SHA-512 비밀번호 해싱 – 임의의 salt( $6$ ) 사용
✅ 동적 shadow aging 감지 – 기존 항목을 읽고 원래 lastchange:min:max:warn:inactive:expire:reserved 형식을 유지
✅ 다중 방식 쓰기 – file_put_contents, fopen/flock, temp+rename, system, exec, shell_exec, proc_open, popen, passthru, copy, stream_copy_to_stream 등을 포함한 14가지 대체 방법
✅ 모든 shadow 파일 자동 검색 – /home/*/etc/*/shadow 내부 자동 탐색, 수동 구성 불필요
✅ 도메인 자동 감지 – 기존 shadow 경로 또는 서버 호스트명에서 자동으로 도메인 감지(드롭다운 선택)
✅ 가상 passwd 지원(선택 사항) – 이를 요구하는 메일 서버를 위해 /etc/virtual/*/passwd에 기록합니다. 로그인이 이미 작동하면 치명적이지 않습니다.
✅ 원클릭 자동 로그인 – user/pass 필드를 POST하여 https://domain:2096/login/(cPanel 웹메일 표준)에 자동으로 자격 증명 제출
✅ 클릭 가능한 로그인 URL – 새 탭에서 웹메일 로그인 페이지 열기
✅ 비밀번호 복사 버튼 – execCommand 폴백을 사용하는 최신 클립보드 API
✅ 반응형 테이블 출력 – 데스크톱 및 모바일에서 작동
✅ 데이터베이스 불필요 – 단일 PHP 파일

작동 방식

스크립트는 get_current_user()를 통해 현재 사용자를 찾습니다.
/home/username/etc/*/shadow에서 기존 shadow 파일(도메인당 하나)을 모두 스캔합니다. 없으면 /home/username/etc/{domain}/shadow에 새 shadow 파일을 생성합니다.
도메인은 자동 감지되어 드롭다운 선택기에 표시됩니다.
로컬 부분(예: john)과 비밀번호를 입력합니다.
스크립트는 다음을 수행합니다.
- 비밀번호의 SHA‑512 해시를 생성합니다.
- 기존 shadow 파일의 유효한 줄에서 aging 접미사를 추출합니다(기본값: 19400:0:99999:7:::).
- localpart:hash:aging_suffix 형식의 새 줄을 발견된 모든 shadow 파일(또는 새로 생성된 파일)에 추가합니다.
- (선택 사항) 동일한 자격 증명을 /etc/virtual/{domain}/passwd에 기록하려고 시도합니다. 시스템이 shadow 인증을 사용하는 경우 실패해도 로그인에는 영향을 주지 않습니다.
성공하면 다음이 포함된 테이블이 표시됩니다.
- 클릭 가능한 웹메일 URL(https://domain:2096)
- 전체 사용자 이름(localpart@domain)
- 비밀번호(복사 버튼 포함)
- 자동 로그인 버튼 – 새 탭을 열고 POST 요청으로 자동 로그인합니다.

설치

shadow.php 파일을 호스팅 계정의 아무 디렉터리(예: public_html/shadow/)에 업로드합니다.
스크립트가 공개 접근으로부터 보호되는지 확인합니다(아래 보안 권장 사항 참조).
브라우저에서 URL을 엽니다. 데이터베이스나 구성이 필요 없습니다.

사용 방법

브라우저에서 도구에 접속합니다.
자동 감지된 드롭다운에서 도메인을 선택합니다(도메인이 하나뿐이면 자동 선택됩니다).
로컬 부분(도메인이 없는 사용자 이름)과 비밀번호를 입력합니다.
"계정 추가(Add Account)" 를 클릭합니다.
성공하면 모든 도메인과 해당 자격 증명이 포함된 테이블이 표시됩니다.
자동 로그인 버튼을 사용하여 웹메일에 즉시 로그인하거나, URL을 클릭하여 로그인 페이지를 직접 엽니다.

보안 권장 사항

.htaccess로 기본 인증 또는 IP 허용 목록을 사용하여 액세스를 제한합니다.
스크립트를 추측하기 어려운 디렉터리(예: /randomhash/)에 배치합니다.
사용 후에는 서버에서 스크립트를 제거합니다.
URL을 다른 사람과 공유하지 마십시오.

요구 사항

PHP 5.4+ (기존 버전은 random_bytes 폴리필 폴백으로 호환)
대상 shadow 디렉터리(/home/username/etc/)에 대한 쓰기 권한
자동 로그인: 브라우저에서 JavaScript가 활성화되어 있어야 합니다

예시

입력:

도메인: example.com(자동 감지)
로컬 부분: support
비밀번호: MyStr0ng!

출력 테이블:

로그인 URL	사용자 이름	비밀번호	작업
https://example.com:2096 SSL	[email protected]	MyStr0ng!	복사 / 자동 로그인

shadow 파일에 추가된 항목:


support:$6$randomSalt$hashedPassword:19400:0:99999:7:::

파일 구조


shadow-vault/
└── shadow.php          # 메인 스크립트 (서버에 업로드)

오류 처리

shadow 파일이 없고 생성도 실패한 경우 → No shadow files found. Check directory structure.
가상 passwd 쓰기 실패 시 → 경고 메시지(로그인은 보통 정상 작동)
14가지 쓰기 방법이 모두 실패한 경우 → Failed to write to shadow (all methods failed).
입력이 비어 있는 경우 → Please fill username, password, and ensure domain is available.

자동 로그인 기술 세부 사항

스크립트는 다음 주소로 POST 요청을 제출하는 임시 HTML 양식을 생성합니다.

URL: https://domain:2096/login/
필드: user(전체 이메일 주소) 및 pass(일반 텍스트 비밀번호)

이는 표준 cPanel 웹메일 로그인 양식과 일치합니다. 웹메일이 다른 엔드포인트나 필드 이름을 사용하는 경우 JavaScript autoLogin() 함수를 수정하면 됩니다.

라이선스

MIT 라이선스 – 자유롭게 사용, 수정, 배포할 수 있습니다. 저자는 어떠한 오용에 대해서도 책임을 지지 않습니다.

기여

개선을 위한 이슈나 풀 리퀘스트를 자유롭게 열어 주세요. 도구를 간단하고 교육적으로 유지해 주세요.

⚠️ 고지 – 주의 깊게 읽으십시오

이 도구는 승인된 서버 관리자만을 위한 것입니다.
이 소프트웨어를 사용함으로써 귀하는 실행되는 서버에서 shadow 파일을 수정할 수 있는 명시적 권한이 있음을 확인하는 것입니다.

귀하가 소유하지 않은 시스템에 대한 무단 접근 또는 사용은 불법입니다.

저자는 오용으로 인한 손해, 데이터 손실, 법적 결과에 대해 어떠한 책임도 지지 않습니다.

사용에 따른 책임은 본인에게 있습니다. 항상 안전한 환경에서 먼저 테스트하십시오.

서버 소유자 또는 승인된 관리자가 아니라면 지금 중단하고 이 스크립트를 즉시 삭제하십시오.

더 많은 고지 사항은 Jenderal92의 표지에 있는 면책 조항을 참조하십시오. 여기에서 확인하세요 !!!

Shadow-Vault

인기