web-dev-qa-db-ja.com

2つのrootアカウント、何をすべきか？

私はUbuntu 15.04を使用しています。今日、Linuxセキュリティに関する記事を this リンクから読んでいます。

UID 0アカウントの一部になるまで、すべてがうまくいきました

RootのみがUID 0を持つ必要があります。そのUIDを持つ別のアカウントは、しばしばバックドアと同義です。

彼らがくれたコマンドを実行したところ、別のrootアカウントがあることがわかりました。その直後、記事のようにアカウントを無効にしましたが、このアカウントを恐れているので、/etc/passwdで彼を見つけることができます。

rootk:x:0:500::/:/bin/false

そして/etc/shadow

rootk:!$6$loVamV9N$TorjQ2i4UATqZs0WUneMGRCDFGgrRA8OoJqoO3CCLzbeQm5eLx.VaJHeVXUgAV7E5hgvDTM4BAe7XonW6xmup1:16795:0:99999:7::1:

userdel rootkを使用してこのアカウントを削除しようとしましたが、このエラーが発生しました。

userdel: user rootk is currently used by process 1

プロセス1はシステム化されています。誰か私にアドバイスをお願いできますか？ userdel -f？このアカウントは通常のrootアカウントですか？

ubuntusecurityroot
19
Lulzsec

プロセスとファイルは、実際にはユーザー名ではなくユーザーID番号によって所有されます。 rootkとrootは同じUIDを持っているため、一方が所有するすべてのものがもう一方も所有しています。あなたの説明によると、userdelはすべてのルートプロセス（UID 0）をrootkユーザーに属していると見なしているようです。

これによると man page 、userdelには、アクティブなプロセスがある場合でもアカウントを強制的に削除するオプション-fがあります。そして、userdelは、実際のrootアカウントに影響を与えずに、rootkのpasswdエントリとホームディレクトリを削除するだけでしょう。

安全のために、パスワードファイルを手動で編集してrootkのエントリを削除し、次にrootkのホームディレクトリを手動で削除する場合があります。システム上にvipwというコマンドがある場合があります。これにより、テキストエディターで/etc/passwdを安全に編集できます。

27
Rahul

それは確かに裏口のように見えます。

私はシステムが危険にさらされていると考え、ユーザーを削除することが可能であるとしても、マシンにどんな興味深い驚きが残っているか分からない場合でも（たとえば、さまざまなWebサイトのユーザーのパスワードを取得するためのキーロガー）、.

23
Simon Richter