![为什么 syslog 和 uml-net 在 /etc/passwd 中有 /home?](https://linux22.com/image/1059699/%E4%B8%BA%E4%BB%80%E4%B9%88%20syslog%20%E5%92%8C%20uml-net%20%E5%9C%A8%20%2Fetc%2Fpasswd%20%E4%B8%AD%E6%9C%89%20%2Fhome%EF%BC%9F.png)
有人可以解释为什么用户 syslog 和 uml-net/home
在 中/etc/passwd
,即使 中的这些目录/home
实际上并不存在?
cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
syslog:x:101:104::/home/syslog:/bin/false
...
uml-net:x:107:111::/home/uml-net:/bin/false
...
答案1
从旧时代继承而来,不会破坏任何东西。每一行都/etc/passwd
需要一个归宿(见下面的补充)。这/etc/passwd
是我们作为 Linux 系统的一部分(而不是 Debian/Ubuntu 特有的功能)所接受的。
古时候系统日志工具非常常见,并且用于/home/syslog/
为每种数据源类型创建一个目录。
在切换到systemd
使用之前rsyslog/var/log/syslog
,将日志存储在systemd用途/run/systemd/journal/syslog
。
参见手册页:
/etc/passwd contains one line for each user account,
with seven fields delimited by colons (“:”). These fields are:
· login name
· optional encrypted password
· numerical user ID
· numerical group ID
· user name or comment field
· user home directory
· optional user command interpreter
加密密码和用户命令解释器明确地被提及为“可选”。所以我认为其他的是强制性的。
答案2
在我的案例中,该用户可能是由恶意加密挖掘脚本创建的,泄露的是它是最后添加的用户:
...
uml-net:x:114:118::/nonexistent:/bin/false
它还留下了 ssh 公钥登录后门和各种经过修改的 cron 钩子。最好的办法是重新安装带有最新更新的服务器,并使用修订跟踪 /etc/ 来帮助您注意到差异 - 后者对我有帮助。
有些文件有用户组Debian-exim
因此该服务器很可能因此受到损害https://www.linuxtechnews.com/cve-2019-10149-debian-has-released-critical-security-update-for-exim/