2つのルートアカウント、何をすべきか？

私はUbuntu 15.04を使用していますが、今日はこのリンクからLinuxセキュリティに関する記事を読んでいます。

UID 0アカウントの部分まですべてがうまくいった

ルートのみがUID 0を持つ必要があります。そのUIDを持つ別のアカウントは、多くの場合、バックドアと同義です。

彼らが私に与えたコマンドを実行すると、別のルートアカウントがあることがわかりました。その直後に記事のようにアカウントを無効にしましたが、このアカウントを恐れているので、彼を見つけることができます/etc/passwd

rootk:x:0:500::/:/bin/false

そして /etc/shadow

rootk:!$6$loVamV9N$TorjQ2i4UATqZs0WUneMGRCDFGgrRA8OoJqoO3CCLzbeQm5eLx.VaJHeVXUgAV7E5hgvDTM4BAe7XonW6xmup1:16795:0:99999:7::1:

を使用してこのアカウントを削除しようとしましuserdel rootkたが、このエラーが発生しました。

userdel: user rootk is currently used by process 1

プロセス1はsystemdです。誰かアドバイスをください。私はuserdel -f？このアカウントは通常のルートアカウントですか？

ubuntu security root

— ラルツセック
ソース

このエラーは、単に同じUID（0）を持っているからだと強く思います。既存のUIDで2番目のユーザーを作成してテストを行ったところ、で最初のユーザーとして報告されました/etc/passwd。また、ファイルとプロセスがユーザー名ではなくUIDを参照するため、そのアカウントを削除するとマシンに影響を与える可能性があるとは思いません。回復ディスクを手元に置いておくことをお勧めしますが（ほとんどの場合は必要ではありませんが）、私はそれを取り外して心配なくマシンを再起動します。

— ジュリーペレティエ

/etc/passwd＆からrootkを削除しました/etc/shadow。再起動し、すべてが正常になりました。rootのみがrootユーザーとして表示されます。ご協力ありがとうございます。

— -Lulzsec

いずれの場合も、ルートキット検出器に感染している可能性があるため、実行してみてください。 rootkは疑わしい名前であり、無効化されていないパスワードを持っていると、トロイの木馬に負けたという症状が悪化します。ところで、エントリを削除せずに、パスワードフィールドに文字を挿入して無効にします。これにより、どのように感染したかを知る手がかりが得られます。

— ルイスコロラド州

@DarkHeart、いいえ、私は恐れていません...しかし、rootk有効なパスワード（無効ではない）を持つアカウントを持っていることは、ローカルユーザーによるルートアカウントのネットワーク悪用または誤用の強力な症状です。「聖母を信頼し、走ってはいけない...」と言います。ところで、私はUNIX / Linuxの経験がない16歳の男だと思いますか？:(

— ルイスコロラド州

を/bin/false実行して、本物のファイルであるかどうかを確認できますsudo dpkg -V coreutils。変更されている場合は、すべてを再インストールすることを検討してください。Ubuntu 15.04は6か月間EOLであるため、既存および将来のセキュリティホールは修正されないため、16.04などの新しいバージョンをインストールすることをお勧めします。

— マークPlotnick

回答:

プロセスとファイルは、実際にはユーザー名ではなくユーザーID番号によって所有されています。同じUID rootkをroot持つため、一方が所有するものはすべて他方も所有します。説明に基づいて、userdelすべてのルートプロセス（UID 0）を所属rootkユーザーとして見たように聞こえます。

このmanページによると、アクティブなプロセスがある場合でもアカウントを強制的に削除userdelするオプションがあります-f。そして、userdelおそらく削除だろうrootk実際のrootアカウントに影響を与えることなくさんのpasswdエントリとホームディレクトリ、。

より安全にするために、パスワードファイルを手動で編集して、のエントリを削除し、のホームディレクトリをrootk手動で削除することがありrootkます。システム上にという名前のコマンドがあり、テキストエディタでvipw安全に編集できます/etc/passwd。

— ラーフル
ソース

回答ありがとうございます！安心の王様だと思う、それは悪い裏口だと思った！あなたが言ったように、/ etc / passwdのrootkのエントリを削除しました。しかし、rootkホームディレクトリはありませんでした

— Lulzsec

@Lulzsec：これは、rootkアカウントがバックドアとして作成されたかどうかを示すものではありません。簡単に削除できることを意味します。

— ジュリーペレティエ

あなたは問題を完全に解決していないと思います。質問に対する私のコメントを確認してください。

— ルイスコロラド州

どうやらrootkのホームディレクトリはuserdel -rを実行しないように注意してください/

— Jeff Schaller

@JeffSchallerしかし、もしそうすれば、ある意味で問題も解決したことになります。悪意のあるユーザーはファイルを見ることができませんでした！

— kirkpatt

それは確かにバックドアのように見えます。

システムが侵害されたと考えて、軌道上からそれを破棄します。たとえマシンにどんな面白い驚きが残っているのかわからないユーザーを削除することができたとしても（たとえば、さまざまなWebサイトのユーザーのパスワードを取得するキーロガー）。

— サイモン・リヒター
ソース

電子レンジに入れて新しいものを買います。

— アーロンマクミリン

何がバックドアのように見えるのですか？既知のプロファイル、ルートキットなどと一致しますか？

— フライハイト

@Freiheitさて、root権限を持つ追加のユーザーは、ほとんどルートキット/バックドアの定義です。誰かがそのユーザーとしてログインすると、システム上のあらゆるものが危うくなる可能性があります。アカウントが無害な目的で作成されたとしても（それがどうなるかわからない）、他の誰かがそれを発見し、悪意を持って使用することができました（たとえば、Windowsをルートキット化したSony DRMで調べてください）。

— IMSoP

@kasperd：パスワードは無効ではなく、にあり/etc/shadowます。シェルを/bin/false（改ざんされていない場合）に設定すると、対話型ログインが無効になる場合がありますが、アカウントが他の方法で使用されるのを防ぐことはできません。たとえば、ではなく、環境変数sudo -sを見て、実行するシェルを決定します。SHELL/etc/passwd

— ベンフォークト

@kasperd：ああ、わかった。非表示のcrontabからrootとしてタスクを定期的に実行する方法かもしれません（/ホームディレクトリとしての選択はそれと矛盾しているようですが）。

— ベンフォークト