两个根帐户，该怎么办？

我在Ubuntu 15.04，今天我一直在阅读有关从Linux的安全性的文章这个链接。

一切顺利，直到UID 0帐户的一部分

只有root的UID应该为0。具有该UID的另一个帐户通常是后门的同义词。

运行他们给我的命令时，我发现还有另一个root帐户。之后，我像文章一样禁用了该帐户，但是我有点害怕此帐户，因此我可以在/etc/passwd

rootk:x:0:500::/:/bin/false

而在 /etc/shadow

rootk:!$6$loVamV9N$TorjQ2i4UATqZs0WUneMGRCDFGgrRA8OoJqoO3CCLzbeQm5eLx.VaJHeVXUgAV7E5hgvDTM4BAe7XonW6xmup1:16795:0:99999:7::1:

我尝试使用删除此帐户，userdel rootk但出现此错误；

userdel: user rootk is currently used by process 1

系统1被系统化。有人可以给我一些建议吗？我应该userdel -f吗？这个帐户是普通的root帐户吗？

ubuntu security root

— 卢兹塞克
source

我强烈怀疑此错误仅仅是因为它们具有相同的UID（0）。我只是通过使用现有UID创建第二个用户来进行测试的，据报道该用户是中的第一个用户/etc/passwd。我还怀疑删除该帐户是否会对计算机产生任何影响，因为文件和进程引用的是UID，而不是用户名。建议随手准备一个恢复盘（尽管很可能不是必需的），但我会删除它并重新启动计算机而无需担心。

— 朱莉·佩勒捷

从/etc/passwd＆/etc/shadow;中删除了rootk 。重新启动，现在一切都很好，root是显示为root用户的唯一用户。谢谢您的帮助！

— Lulzsec

无论哪种情况，请尝试运行一些root-kit检测器，因为您可能已被其中一个感染。 rootk的名称太可疑了，而密码未禁用则更糟，这是被特洛伊木马击败的症状。顺便说一句，不要删除该条目，只需在密码字段中插入一些字母以将其禁用，因为它会为您提供线索，让您知道您是如何被感染的。

— 路易斯·路易斯科罗拉多州

@DarkHeart，没有，恐怕不是...但是拥有一个rootk使用有效密码（未禁用）的帐户是某些网络利用或本地用户滥用root帐户的强烈症状。正如我们常说的：“一定要相信圣女，不要逃跑……”。顺便说一句，您是否认为我是16岁，没有Unix / Linux经验的人？:(

— 路易斯·科罗拉多州，

可能需要/bin/false通过运行来检查是否为正版文件sudo dpkg -V coreutils。如果已更改，请考虑重新安装所有内容。Ubuntu 15.04已停产6个月，因此不会解决任何现有和将来的安全漏洞，因此您可能需要安装较新的版本，例如16.04。

— Mark Plotnick

Answers:

进程和文件实际上归用户ID号所有，而不是用户名。rootk并且root具有相同的UID，因此，一个拥有者所拥有的所有东西也都由另一个拥有者拥有。根据您的描述，听起来好像userdel看到每个根进程（UID 0）都是从属rootk用户。

根据此手册页，即使该帐户具有活动进程，userdel也可以选择-f强制删除该帐户。并且userdel可能只删除了rootkpasswd条目和主目录，而不会影响实际的root帐户。

为了安全起见，我可能倾向于手工编辑密码文件以删除的条目rootk，然后手动删除rootkhome目录。您的系统上可能有一个名为的命令，该命令vipw可让您/etc/passwd在文本编辑器中安全地进行编辑。

— 拉胡尔
source

谢谢回答！我感到国王如释重负，我以为是后门！如您所说，我做了，我在/ etc / passwd中删除了rootk的条目。但没有rootk主目录

— Lulzsec

@Lulzsec：这绝对不会告诉我们该rootk帐户是否被创建为后门。这只是意味着它可以轻松删除。

— 朱莉·佩勒捷

我认为您尚未完全解决问题。请检查我对您问题的评论。

— 路易斯·路易斯科罗拉多州

注意不要运行userdel -r，因为rootk的主目录显然是/

— Jeff Schaller

@JeffSchaller但是，如果您这样做，就可以通过某种方式解决问题。恶意用户看不到任何文件！

— kirkpatt

确实看起来像是后门。

我认为该系统已受到威胁并从轨道上对其进行了核对，即使您可以将用户撤离，也不知道机器上会留下什么有趣的惊喜（例如，通过键盘记录程序获取各个网站的用户密码）。

— 西蒙·里希特
source

把它放在微波炉里买一个新的。

— 亚伦·麦克米林

是什么使它看起来像后门？它是否与任何已知的配置文件，rootkit等匹配？

— Freiheit

@Freiheit好吧，具有root权限的其他用户几乎是rootkit /后门的定义。一旦有人以该用户身份登录，他们几乎可以破坏系统上的任何内容。即使该帐户是出于无害目的创建的（我不知道那会是什么），其他人也可能已经发现并恶意使用了该帐户（例如，在安装了Windows的Sony DRM上阅读）。

— IMSoP

@kasperd：密码未禁用，位于/etc/shadow。将外壳设置为/bin/false（如果尚未修改）可能会禁用交互式登录，但不会阻止该帐户以其他方式使用。例如，sudo -s将查看SHELL环境变量（而不是/etc/passwd）来确定要运行的外壳。

— Ben Voigt

@kasperd：嗯，好的。可能是从隐藏的crontab中以root身份定期执行任务的方法（尽管选择/as home目录似乎与此不一致）吗？

— Ben Voigt