### 查看服务器是否存在可疑账号、新增账号 **Windows 服务器排查** 在 Windows 系统中，我们可以通过命令行工具、注册表和日志来查找异常账号 **1. 使用命令行检查** - **查看本地所有用户账号** 使用 `net user` 命令可以列出系统上的所有本地用户。仔细检查是否有不认识或命名异常的账号，例如：`tempadmin`、`testuser`、`service_a` 等 ```bash net user ``` - **查看新增的管理员账号** 使用以下命令可以查看本地管理员组的成员。如果发现新的或不熟悉的账号，需要重点排查 ```bash net localgroup administrators ``` - **查看最近创建的账号** `lusrmgr.msc`（本地用户和组）是一个图形化界面，可以按创建日期排序。在命令行中，我们通常需要结合 **安全日志** 来进行排查 **2. 检查安全事件日志** 这是最可靠的方法之一。Windows 会记录用户创建、修改和删除等操作到安全事件日志中 - **事件查看器（Event Viewer）** 1. 打开事件查看器 (`eventvwr.msc`) 2. 导航到“Windows 日志” -> “安全” 3. 使用“筛选当前日志”功能，输入以下**事件 ID** 进行筛选： - **4720**: 创建用户账号 - **4722**: 启用用户账号 - **4724**: 重置用户密码 - **4732**: 将用户添加到本地安全组（如管理员组） - **4728**: 将用户添加到全局安全组 通过筛选这些事件 ID，你可以快速定位到账号被创建、启用或权限提升的时间点，并查看操作者（通常是 SYSTEM 或其他管理员账号） **Linux 服务器排查** 在 Linux 系统中，我们可以通过检查系统文件和命令历史来发现异常账号 **1. 检查关键系统文件** - **`/etc/passwd` 文件** 这个文件包含了系统上所有用户的信息，每行代表一个用户。通常，系统的服务账号会以 `/sbin/nologin` 或 `/bin/false` 结尾，而可登录的用户通常以 `/bin/bash` 或 `/bin/sh` 结尾。 你可以使用 `cat` 或 `less` 命令查看，重点关注 UID（用户 ID），UID 小于 1000 的通常是系统账号，而 UID 大于 1000 的是普通用户 ```bash cat /etc/passwd ``` 要找到 UID 大于 1000 的账号，可以使用： ```bash awk -F: '$3 >= 1000 {print $1}' /etc/passwd ``` - **`/etc/shadow` 文件** 这个文件包含了用户的密码哈希值和密码过期信息。虽然不能直接看到密码，但它能确认用户的存在 ```bash cat /etc/shadow ``` - **`/etc/group` 文件** 这个文件定义了用户组。你可以检查 `sudo`、`wheel` 或 `root` 等特权组，看是否有可疑用户被添加 ```bash cat /etc/group ``` **2. 查看登录历史和命令历史** - **查看用户登录历史** 使用 `last` 命令可以查看所有用户的登录历史。检查是否有不正常的登录时间、来源 IP 地址或登录用户。 ```bash last ``` 使用 `who` 命令可以查看当前登录的用户 ```bash who ``` - **查看命令历史** 检查 `/root/.bash_history` 或 `/home//.bash_history` 文件，看是否有添加用户的命令（如 `useradd`） ```bash cat /root/.bash_history | grep "useradd" ``` **注意**：攻击者可能会清除命令历史，所以这不能作为唯一的判断依据 **3. 检查审计日志（Auditd）** 如果你的 Linux 服务器配置了 `auditd` 服务，那你可以通过审计日志来获取更详细的信息。`auditd` 会记录系统上几乎所有的操作 - **事件 ID** `auditd` 记录用户创建的事件 ID 是 **1000**。你可以通过 `ausearch` 命令来查询： ```bash ausearch -ua root -i | grep 1000 ``` 这个命令可以帮助你查找由 root 用户执行的账户创建操作