最有效识别违规潜伏超级用户的方式是直接查询uid为0的账户：执行awk -f: '$3==0{print $1":"$6":"$7}' /etc/passwd，正常仅输出root:/root:/bin/bash；若出现其他条目，无论用户名、shell或家目录如何伪装，均属高危异常，需结合getent passwd、登录日志及文件修改时间进一步验证并处置。
直接查 UID 为 0 的账户，是识别违规潜伏超级用户最可靠的方式。系统判定 root 权限的唯一依据是 /etc/passwd 第三字段（UID）是否等于 0 —— 不看用户名是否“像管理员”，也不依赖密码状态或 shell 类型。
快速筛出所有 UID=0 的账号
运行这条命令：
awk -F: '$3 == 0 {print $1 ":" $6 ":" $7}' /etc/passwd
正常只应输出一行：root:/root:/bin/bash。
若出现 admin:/home/admin:/bin/bash、backup:/var/empty:/usr/sbin/nologin 或任何非 root 的条目，就属于需立即处置的违规账号。
重点排查易被忽略的伪装形式
Android linux内核介绍 中文WORD版
下载
本文档主要讲述的是Android linux内核介绍；Android内核是基于Linux 2.6内核的（目前最新开发版本是2.6.31），它是一个增强内核版本，除了修改部分Bug外，它提供了用于支持Android平台的设备驱动，希望本文档会给有需要的朋友带来帮助；感兴趣的朋友可以过来看看
- 名称接近系统账户但拼写异常（如
rrot、rooT、root2），攻击者常用这类命名绕过人工检查 - 家目录设为
/dev/null、/var/empty或不存在路径，shell 设为/bin/false或/usr/sbin/nologin，看似不可登录，实则仍可本地提权或被其他进程调用 - UID=0 账户在
/etc/shadow中无对应行（说明仅篡改了 passwd 文件），或第二字段为!、*、空（::），这些都不代表安全，只是限制了远程登录能力
验证是否真实存在并活跃
- 检查文件修改时间：
ls -l /etc/passwd，若修改时间在非运维时段（如凌晨 1–4 点），高度可疑 - 查登录痕迹：
last -n 50 | grep -E '^(admin|backup|可疑名)'和grep -i "可疑名" /var/log/secure 2>/dev/null - 确认家目录是否存在：
ls -ld $(awk -F: '/^可疑名:/ {print $6}' /etc/passwd)，再看是否有.bash_history、.ssh/authorized_keys等敏感文件
别漏掉 NSS 后端带来的盲区
仅查 /etc/passwd 不够。若系统启用 LDAP、SSSD 或 Winbind（查看 /etc/nsswitch.conf 中 passwd: 行），攻击者可能通过后端注入 UID=0 账户。必须同步执行：
getent passwd | awk -F: '$3 == 0 {print $1 ":" $6 ":" $7}'
若输出多于 root，且该账户不在 /etc/passwd 中，说明后端已被篡改或缓存污染，需检查 SSSD 配置或 LDAP 权限策略。
