su fungerar inte

Dist: debian
Av någon underlig anledning så fungerar inte su. Först så gick det inte ens att köra su öht. Skrev man su så fick man Permission denied till svar direkt, utan att ens få skriva in något password. En ändring i /etc/pam.d/su löste problemet. Men su fungerar fortfarande inte.
Skriver man su (eventuellt även user) så får man fram lösenordsprompten men vad man än skriver så får man "su: Authentication failure" till svar.
Kollar jag i loggen så hittar jag följande:

auth.log skrev:

Nov 19 19:17:26 linux su[21895]: pam_authenticate: Authentication failure
Nov 19 19:17:26 linux su[21895]: - pts/4 gein-root

Ja, jag har verkligen kollat lösenordet ;)
Någon idé vad det kan vara?

Så här ser /etc/pam.d/su ut:

#
# The PAM configuration file for the Shadow `su' service
#

# Uncomment this to force users to be a member of group root
# before they can use `su'. You can also add "group=foo" to
# to the end of this line if you want to use a group other
# than the default "root".
# (Replaces the `SU_WHEEL_ONLY' option from login.defs)
#auth required pam_wheel.so group=wheel

# Uncomment this if you want wheel members to be able to
# su without a password.
# auth sufficient pam_wheel.so trust

# Uncomment this if you want members of a specific group to not
# be allowed to use su at all.
#auth required pam_wheel.so deny group=nosu

# This allows root to su without passwords (normal operation)
auth sufficient pam_rootok.so

# Uncomment and edit /etc/security/time.conf if you need to set
# time restrainst on su usage.
# (Replaces the `PORTTIME_CHECKS_ENAB' option from login.defs
# as well as /etc/porttime)
# account requisite pam_time.so

# The standard Unix authentication modules, used with
# NIS (man nsswitch) as well as normal /etc/passwd and
# /etc/shadow entries.
auth required pam_unix.so
account required pam_unix.so
session required pam_unix.so

#@include common-auth
#@include common-account
#@include common-session

# Sets up user limits, please uncomment and read /etc/security/limits.conf
# to enable this functionality.
# (Replaces the use of /etc/limits in old login)
# session required pam_limits.so

Nu vet jag inte vilken dist du kör, men i gentoo måste alla användare som ska kunna su:a ligga i gruppen 'wheel'. Ta en koll på det. Ligger du inte med i den gruppen, och om gruppen finns, lägg till dig själv i den.

Missade skriva det. Det är alltså debian som körs men jag e medveten om det där med gruppen wheel och jag har även provat att lägga in en användare i gruppen men utan framgång.

Hur ser rättigheterna för /bin/su ut? Borde vara så här:

-rwsr-xr-x_ _ 1 root_ _ _root

Såhär:

linux:/bin# ls -alF su
-rwxr-xr-x    1 root     root        22872 Sep 13 23:53 su*

Ser väl likdant ut...

Nu kör jag iofs inte Debian, så det skulle ju kunna vara skillnad mellan distributionerna, men du skulle kunna pröva att ändra rättigheterna och se om det fungerar då.

chmod 4755 /bin/su

Ah, underbart! Nu fungerar det som det ska! :)
Tack så hemskt mycke. Gissa hur länge jag satt igårkväll? ;)

Vad exakt är skillnaden mellan 755 och 4755?

man chmod

A  numeric  mode  is from one to four octal digits (0-7), derived by adding up the
       bits with values 4, 2, and 1.  Any omitted digits are assumed to be leading zeros.
       The  first  digit  selects  the set user ID (4) and set group ID (2) and save text
       image [`sticky'] (1) attributes.  The second digit  selects  permissions  for  the
       user  who  owns  the file: read (4), write (2), and execute (1); the third selects
       permissions for other users in the file's group, with the  same  values;  and  the
       fourth for other users not in the file's group, with the same values.

En kortare förklaring än PeW :)

4 innebär att man sätter SUID biten, är SUID satt så körs programmet som om det vore ägaren till programmet som körde den och inte den användaren som verkligen kör den.

I detta fallet körs programmet som om det vore root som körde det.

Man kan se om SUID är satt på en fil genom att det står ett s i fjärde positionen istället för ett x. (-rws------ istället för -rwx------)

Blir alltid lika förundrad när folk testar kommandon de får innan de vet vad kommandot gör. Skulle aldrig jag våga. ;)

Tack GunnarD.