| 文件 | /etc/passwd、/etc/shadow、/etc/group |
|---|---|
| 重点 | 第三字段为 0 的账号 |
扫描
扫描
awk -F: '$3==0 {print $1, $3, $7}' /etc/passwd
awk -F: '$2=="" {print $1}' /etc/shadow账号能否登录还取决 shell 字段与 shadow 密码状态，三处一起看。
异常账号与 UID 0 排查
UID 0 即 root：任何新增的 UID 0 账号都是高优先级发现；同时核对可登录 shell、异常家目录与账号建立时间。
易错点
- 系统账号历史上可能带异常 shell 字段，属已知基线
- 容器内 UID 0 常见，判断需结合宿主与业务约定
数据来源与参考
- man 5 passwd 与 man 5 shadow（shadow-utils）