1、查看是否有异常的系统用户
[root@bastion-IDC ~]# cat /etc/passwd
[root@bastion-IDC ~]# awk -F: '/bash/{print $1,x=x+1} END {print x }' /etc/passwd | cut -d " " -f1
2、查看是否产生了UID和GID为0的新用户
[root@bastion-IDC ~]# grep "0" /etc/passwd
[root@bastion-IDC ~]# awk -F: '($3==0)' /etc/passwd
3、查看passwd的修改时间
判断是否在不知的情况下添加用户
[root@bastion-IDC ~]# ls -l /etc/passwd
4、查看是否存在特权用户
[root@bastion-IDC ~]# awk -F: '$3==0 {print $1}' /etc/passwd
5、查看是否存在空口令帐户
[root@bastion-IDC ~]# awk -F: 'length($2)==0 {print $1}' /etc/shadow
[root@bastion-IDC ~]# awk -F: '($2=="")' /etc/shadow
6、查看ssh授权用户
[root@bastion-IDC ~]# cat /etc/passwd | grep bash
7、查看可以远程登录的帐号信息
[root@bastion-IDC ~]# awk '/\$1|\$6/{print $1}' /etc/shadow
注:/etc/shadow第二字段非“!!”或“*”,代表可以登录,$1或$6为此字段标识