账号与后门排查23 条

可疑账号处置：先禁用后删除

直接删账号会同时抹掉登录历史与 SID 关联：正确顺序是记录、禁用、断会话与密钥、观察期后再删除。

第 1 步	导出账号信息与登录记录
第 2 步	禁用：usermod -L / Disable-LocalUser
第 3 步	清 authorized_keys 与活动会话
第 4 步	观察期后再删除

Linux 禁用而非删除

passwd -S baduser
usermod -L -s /usr/sbin/nologin baduser
passwd -S baduser
cp -a /etc/passwd /etc/shadow /evidence/    # 删前留档

Disable-LocalUser -Name 'baduser'
Get-LocalUser -Name 'baduser' | Format-List Name,Enabled

删除前把 passwd/shadow/group 复制到证据目录：账号没了，历史对照也难了。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌