Shadow Vault 🔐

Shadow Vault 是一款轻量级 PHP 网络工具，专为系统管理员设计，用于在共享托管环境中安全地向 shadow 文件添加新的用户凭据。它会自动检测现有的 shadow 老化格式，使用 SHA-512 密码哈希，支持多种写入回退方法，甚至还提供了一键自动登录 cPanel 网络邮件（端口 2096）的功能。

⚠️ 免责声明：此工具仅用于合法的服务器管理。在您并不拥有的系统上进行未经授权的访问或使用是违法的。请自行承担使用风险。

功能

• ✅ SHA-512 密码哈希，使用随机盐（$6$）
• ✅ 动态 shadow 老化检测 —— 读取现有条目并保留原始的 lastchange:min:max:warn:inactive:expire:reserved 格式
• ✅ 多方法写入 —— 14 种回退方法，包括 file_put_contents、fopen/flock、临时文件+重命名、system、exec、shell_exec、proc_open、popen、passthru、copy、stream_copy_to_stream 等
• ✅ 自动发现所有 shadow 文件，路径位于 /home/*/etc/*/shadow —— 无需手动配置
• ✅ 自动检测域名，从现有 shadow 路径或服务器主机名中获取（下拉选择）
• ✅ 虚拟 passwd 支持（可选）—— 对于需要它的邮件服务器，将写入 /etc/virtual/*/passwd；如果登录已正常工作，这不是关键功能
• ✅ 一键自动登录 —— 使用 POST 请求及 user/pass 字段自动将凭据提交到 https://domain:2096/login/（cPanel 网络邮件标准）
• ✅ 可点击的登录 URL —— 在新标签页中打开网络邮件登录页面
• ✅ 复制密码按钮 —— 使用现代剪贴板 API，并回退到 execCommand
• ✅ 响应式表格输出 —— 兼容桌面端和移动端
• ✅ 无需数据库 —— 单个 PHP 文件

工作原理

1. 脚本通过 get_current_user() 定位当前用户。
2. 它扫描 /home/username/etc/*/shadow 以查找所有现有的 shadow 文件（每个域名一个）。如果不存在，它会在 /home/username/etc/{domain}/shadow 下创建一个新的 shadow 文件。
3. 域名会被自动检测并显示在下拉选择器中。
4. 您提供本地部分（例如 john）和密码。
5. 脚本：
   • 生成密码的 SHA‑512 哈希。
   • 从现有 shadow 文件中的任意有效行提取老化后缀（回退值：19400:0:99999:7:::）。
   • 将新行 localpart:hash:aging_suffix 追加到找到的每个 shadow 文件（或新建的文件）。
   • （可选）尝试将相同凭据写入 /etc/virtual/{domain}/passwd —— 如果系统使用 shadow 认证，失败不会影响登录。
6. 成功后，它会显示一个表格，包含：
   • 可点击的网络邮件 URL（https://domain:2096）
   • 完整用户名（localpart@domain）
   • 密码（带有复制按钮）
   • 自动登录按钮 —— 打开新标签页并通过 POST 请求自动登录。

安装

1. 将 shadow.php 文件上传到您托管账户中的任何目录（例如 public_html/shadow/）。
2. 确保脚本受到保护，防止公共访问（请参阅下面的安全建议）。
3. 在浏览器中打开 URL —— 无需数据库或配置。

使用方法

1. 通过浏览器访问该工具。
2. 从自动检测的下拉列表中选择域名（如果只有一个域名，则会自动选择）。
3. 输入本地部分（不含域名的用户名）和密码。
4. 点击**“添加账户”**。
5. 如果成功，您将看到一个包含所有域名及其凭据的表格。
6. 使用自动登录按钮立即登录网络邮件，或点击 URL 手动打开登录页面。

安全建议

• 使用 .htaccess 通过基本身份验证或 IP 白名单限制访问。
• 将脚本放置在难以猜测的目录中（例如 /randomhash/）。
• 使用后，从服务器上删除脚本。
• 不要与任何人分享该 URL。

系统要求

• PHP 5.4+（兼容使用 random_bytes polyfill 回退的旧版本）
• 对目标 shadow 目录（/home/username/etc/）具有写入权限
• 对于自动登录：浏览器中必须启用 JavaScript

示例

输入：

• 域名：example.com（自动检测）
• 本地部分：support
• 密码：MyStr0ng!

输出表格：

添加到 shadow 文件的条目：

support:$6$randomSalt$hashedPassword:19400:0:99999:7:::

文件结构

shadow-vault/
└── shadow.php          # Main script (upload to your server)

错误处理

• 如果未找到 shadow 文件且创建失败 → No shadow files found. Check directory structure.
• 如果写入虚拟 passwd 失败 → 警告消息（登录通常仍然有效）
• 如果所有 14 种写入方法均失败 → Failed to write to shadow (all methods failed).
• 如果输入为空 → Please fill username, password, and ensure domain is available.

自动登录技术细节

脚本会生成一个临时 HTML 表单，该表单向以下地址提交 POST 请求：

• URL：https://domain:2096/login/
• 字段：user（完整电子邮件地址）和 pass（明文密码）

这与标准 cPanel 网络邮件登录表单匹配。如果您的网络邮件使用不同的端点或字段名称，您可以相应修改 JavaScript autoLogin() 函数。

许可证

MIT 许可证 —— 可自由使用、修改和分发。作者不对任何滥用行为负责。

贡献

欢迎开启 issue 或拉取请求以进行改进。保持工具简洁且具有教育意义。

⚠️ 免责声明 —— 请仔细阅读

此工具仅供获得授权的服务器管理员使用。
使用本软件即表示您确认自己拥有明确的权限可修改其上执行此脚本的服务器上的 shadow 文件。

• 在您不拥有的系统上进行未经授权的访问或使用是非法的。
• 作者对因滥用造成的任何损害、数据丢失或法律后果不承担任何责任。
• 风险自负。 请始终先在安全环境中进行测试。
• 如果您不是服务器所有者或授权管理员，请立即停止并删除此脚本。

---

更多免责声明，您可以在 Jenderal92 的封面查看。您可以点击 此处 !!! 查看。