应仅存在root:0:/root:/bin/bash一个UID 0账户；若出现多行，需溯源是否为应急账户、自动化误配或useradd -u 0 -o植入，并检查空密码、拼写异常、家目录及shell可疑项。
快速筛出所有UID 0账户
Linux允许存在多个UID为0的用户，但除root外，其余均为高危信号。执行以下命令列出全部UID 0账户及其关键信息：
awk -F: '$3 == 0 {print $1 ":" $3 ":" $6 ":" $7}' /etc/passwd
正常输出应仅有一行：root:0:/root:/bin/bash。若出现多行（如admin:0:/tmp:/bin/sh或backup:0:/var/backup:/usr/bin/python3），需立即人工溯源：
- 是否为运维临时创建的应急账户？有无审批记录和到期机制？
- 是否由Ansible、SaltStack等自动化工具误配（例如playbook中漏写
uid校验）？ - 是否使用
useradd -u 0 -o绕过唯一性检查植入？该操作不报错、不留常规日志，但可通过history | grep "useradd.*-o"回溯。
验证UID与用户名是否真实对应
/etc/passwd中UID重复不等于系统允许——它只说明字段值相同，但实际权限映射依赖内核识别。重点检查三类异常：
-
空密码账户：查
/etc/shadow第二字段是否为空（::）或为弱哈希（如$1$开头的MD5）。UID 0 + 空密码 = 直接提权入口。 -
用户名拼写异常：如
rrot、ro0t、adm1n，常为攻击者故意混淆的后门名。 -
家目录或shell可疑：UID 0用户家目录设为
/tmp、/dev/shm或shell设为/bin/sh、/usr/bin/python3而非标准/bin/bash，均属典型异常。
揪出伪装成合法用户的UID 0进程
传统ps aux | grep root会失效——因为进程以UID 0运行，但用户名来自/etc/passwd映射。若该UID对应的是伪造账户（如backup），ps仍显示backup而非root，造成视觉欺骗。
更可靠方式是直接读取UID数值：
ps -eo uid,comm,args | awk '$1 == 0 && $2 !~ /^(systemd|kthreadd)$/ {print}'
- 过滤掉内核线程
systemd和kthreadd（UID 0属正常） - 若发现
bash、nc、python3、sshd等用户态进程UID为0，且不属于交互式登录会话（可用ps -o pid,tty,uid,comm | grep "^ *[0-9]* ?" | grep " 0 "辅助判断），基本可确认为后门进程。 - 对可疑PID执行
lsof -nP -p [PID]，查看其监听端口、打开文件及网络连接，进一步定位恶意行为。
加固与常态化检查建议
防止UID重复和隐藏账户，不能只靠事后排查：
- 启用UID强制唯一性：创建
/etc/chkuid_state并写入state=on，部分发行版（如定制嵌入式Linux）支持此开关。 - 禁用
-o参数风险：在/etc/sudoers中限制非授权人员执行useradd -o，或通过审计规则监控：auditctl -a always,exit -F arch=b64 -S execve -F exe=/usr/sbin/useradd -F auid>=1000。 - 定期巡检脚本化：将上述
awk筛选、shadow空密码检查、psUID 0进程扫描打包为定时任务，结果邮件告警。
