检查linux系统可疑用户

1、查看是否有异常的系统用户

[root@bastion-IDC ~]# cat /etc/passwd

[root@bastion-IDC ~]# awk -F: '/bash/{print $1,x=x+1} END {print x }' /etc/passwd | cut -d " " -f1

2、查看是否产生了UID和GID为0的新用户

[root@bastion-IDC ~]# grep "0" /etc/passwd

[root@bastion-IDC ~]# awk -F: '($3==0)' /etc/passwd

3、查看passwd的修改时间

判断是否在不知的情况下添加用户

[root@bastion-IDC ~]# ls -l /etc/passwd

4、查看是否存在特权用户

[root@bastion-IDC ~]# awk -F: '$3==0 {print $1}' /etc/passwd

5、查看是否存在空口令帐户

[root@bastion-IDC ~]# awk -F: 'length($2)==0 {print $1}' /etc/shadow

[root@bastion-IDC ~]# awk -F: '($2=="")' /etc/shadow

6、查看ssh授权用户

[root@bastion-IDC ~]# cat /etc/passwd | grep bash

7、查看可以远程登录的帐号信息

[root@bastion-IDC ~]# awk '/\$1|\$6/{print $1}' /etc/shadow

注:/etc/shadow第二字段非“!!”或“*”，代表可以登录，$1或$6为此字段标识