| 基线 | shell 字段为 /usr/sbin/nologin 或 /bin/false |
|---|---|
| 异常 | 出现交互式登录、家目录被写入 |
核查
核查
awk -F: '$7 !~ /(nologin|false|sync|shutdown|halt)$/ {print $1, $7}' /etc/passwd | head -20
last -F | grep -E 'www-data|nginx|tomcat'服务账号被用于横向时，认证日志中的用户名会暴露其真实使用方式。
服务账号滥用核查
服务账号通常被设置为不可登录；一旦它们出现在交互会话或拥有家目录 shell，说明存在被借用的迹象。
易错点
- 部分应用确实需要可登录 shell 的服务账号，需对照部署文档
- 通过 sudo -u 切换不会产生新的登录记录，要查 sudo 日志
数据来源与参考
- man 5 passwd（shell 字段语义）