| 加固项 | 账号特权 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 高 |
| 判读 | 输出除 root 外任何账号=高危 |
核查命令
核查命令
awk -F: '$3==0 {print $1}' /etc/passwd
getent passwd 0
grep -E ':0:0:' /etc/passwd # 双0比对发现非 root 的 UID 0 账号按安全事件处理：先封存证据再核实来源，不要直接删除。
本包目录（363 条）
主机加固基线90 条防火墙与访问控制50 条口令与认证策略55 条服务与端口收敛50 条补丁与漏洞管理50 条日志与审计34 条
基线核查命令34 条
- 监听端口清单核查（ss）
- UID 0 账号核查
- 空口令与锁定状态核查
- 防火墙状态与规则量核查
- Windows 本地账号核查
- SSH 生效配置核查（sshd -T）
- 计划任务与自启项核查
- 口令策略生效状态核查
- Windows 监听端口与进程核查
- RDP 安全配置核查
- sudo 权限清单核查
- SUID/SGID 文件扫描
- Windows 防火墙配置核查
- SMB 配置与共享核查
- root 登录与认证方式核查
- 高危端口对照核查
- Windows 补丁状态核查
- 审计子系统状态核查
- Windows 口令与锁定策略核查
- 内核参数批量核查（sysctl）
- 补丁级别与重启需求核查
- 非必要服务清单核查
- 一页式快速巡检（轻量版）
- 恶意代码防护状态核查
- 全局可写目录与文件核查
- 可登录账号清单核查
- 系统版本与内核盘点
- 家目录与 .ssh 权限核查
- 日志轮转与留存现状核查
- 证书有效期批量核查
- 核查结果判读与报告写法
- 时间同步状态核查
- OpenSCAP 快速核查思路
- 默认 umask 核查
UID 0 账号核查
除 root 外任何 UID 0 账号都是后门信号的最高级别：这条命令输出应当只有 root 一行。
易错点
- 只查 /etc/passwd 会漏 LDAP/SSSD 账号：统一用 getent passwd 兜底
- 修改 UID 影响文件属主：处置要走变更流程，不在核查环节随手改
数据来源与参考
- CIS Linux Benchmark：账号核查
- 等保 2.0：身份鉴别