| 加固项 | 空口令封堵 |
|---|---|
| 适用平台 | Linux（PAM） |
| 风险等级 | 高 |
| 基线 | 无 nullok 生效项 |
全量扫描
全量扫描
grep -rn 'nullok\|nullok_secure' /etc/pam.d/
awk -F: '($2=="") {print $1}' /etc/shadow处置
处置
passwd -l baduser # 或 usermod -p '!' baduser
# 移除 PAM 文件中的 nullok 参数后重新登录验证空口令账号往往是被攻击后留下的后门：发现后先封账号、再排查入侵痕迹，不要只删了事。