主机加固基线90 条

UID 0 账号核查（仅允许 root）

检查 /etc/passwd 中 UID 为 0 的账号：任何非 root 的 UID 0 账号都等同于超级用户，是攻击者留后门与提权的经典手法，发现即清理。

加固项	非 root 账号不得拥有 UID 0
适用平台	Linux（RHEL/CentOS/Debian/Ubuntu）
风险等级	高
判定标准	UID 0 账号列表只应包含 root

核查：列出全部 UID 0 账号

awk -F: '($3 == 0) { print $1 }' /etc/passwd
# 预期输出只有 root 一行

# 锁定并禁用 shell（保留文件属主，避免出现无属主文件）
usermod -L -s /usr/sbin/nologin rogue0
awk -F: '($3 == 0) { print $1 }' /etc/passwd   # 复核

处置前确认该账号是否被业务直接使用：userdel 会造成文件属主悬空，事后需用 find / -nouser 补扫。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌