最有效识别root权限副本的方式是查询UID为0的账户：执行awk -F: '$3==0 {print $1}' /etc/passwd，正常仅输出root；若出现其他用户名，则属高危异常，需结合/etc/shadow、登录日志及文件修改时间进一步验证并禁用或删除。
直接查 UID 为 0 的账户，是识别 root 权限副本最有效、最不可绕过的方式。只要不是 root 本身，其他任何 UID=0 的用户都属于高危异常。
快速定位所有 UID=0 账户
执行这条命令：
awk -F: '$3==0 {print $1}' /etc/passwd正常输出应只有 root。如果出现 admin、backup、sysadm 或任何其他用户名，就是被植入的 root 权限副本。
注意：不要只看用户名是否“像管理员”，关键看第三字段（UID）是否等于 0 —— 这是系统判定超级权限的唯一依据。
验证该账户是否真实可用
一个 UID=0 的账户未必能登录，还需结合 /etc/shadow 判断其认证状态：
- 运行 grep "^用户名:" /etc/shadow（把“用户名”替换成上一步发现的可疑名）
- 检查第二字段（密码字段）：
– 若为空（::）、为!或*，说明账户被禁用或无密码，但仍有本地提权风险；
– 若为$6$、$1$等加密串，且未过期，就具备完整远程登录能力；
– 若该行根本不存在，说明攻击者可能仅修改了 passwd 文件，未同步写入 shadow，属低配伪造，但仍需清除。
检查账户创建痕迹与隐藏行为
UID=0 账户往往伴随其他异常信号：
- ls -l /etc/passwd 查看文件修改时间 —— 若修改时间在非维护窗口（如凌晨 2 点），高度可疑；
- last -n 30 | grep "可疑用户名" 看是否有实际登录记录；
- grep "可疑用户名" /var/log/secure 2>/dev/null 检查 SSH 认证日志中是否存在成功登录或暴力尝试；
- 检查其家目录是否存在：ls -la /home/可疑用户名 或 cat /etc/passwd | grep 可疑用户名 中第六字段（家目录路径），再确认该路径是否真实存在、是否含 .bash_history 等操作痕迹。
安全处置方式
确认为恶意副本后，按风险等级选择操作：
- 临时禁用（推荐首选）：usermod -L 可疑用户名 —— 会在 /etc/shadow 密码字段前加
!，阻止所有登录； - 彻底删除：userdel -r 可疑用户名 —— 同时删用户、家目录、邮件池；
- 切勿仅删 /etc/passwd 行 —— 会导致系统不一致，可能引发 PAM 认证失败或服务崩溃；
- 处置后务必运行 awk -F: '$3==0 {print $1}' /etc/passwd 再次验证，确保只剩 root。
