| 加固项 | 系统账号口令字段锁定 |
|---|---|
| 适用平台 | Linux（RHEL/CentOS/Debian/Ubuntu） |
| 风险等级 | 中 |
| 判定标准 | shadow 第 2 字段以 ! 或 * 开头，或为空串之外的锁定记号 |
核查：找出仍持有真实口令哈希的账号
核查：找出仍持有真实口令哈希的账号
awk -F: '$1 != "root" && $2 ~ /^\$/ { print $1 }' /etc/shadow
passwd -S sysuser # 单个账号看状态：L/LK=锁定 PS=有口令 NP=空口令处置：锁定系统账号
处置：锁定系统账号
usermod -L sysuser # 在现有哈希前加 !
passwd -l sysuser # 等效操作usermod -L 只是给现有哈希加 ! 前缀；若账号原本无口令（!!/*），锁定语义不同，务必用 passwd -S 复核状态。