Re: Устаревшие автосоздаваемые пользователи и группы

[yuri.nefedov@gmail.com]

On Sat, 14 Nov 2015, Dmitry Alexandrov wrote:

> On 14/11/15 20:14, yuri.nefedov@gmail.com wrote:
> > On Sat, 14 Nov 2015, Alexander Galanin wrote:
> >
> > > Всем привет!
> > >
> > > Открыл /etc/passwd и задумался о том, нужны ли мне пользователи
> > > haldaemon, usbmux, mldonkey и т.д. Аналогично и в /etc/group тоже есть
> > > группы, которыми я сам не пользуюсь и у меня более не установлены
> > > пакеты, притащившие их в систему.
> > >
> > > Отсюда несколько вопросов:
> > > 1. Как определить принадлежность пользователя/группы к пакету. Не всё
> > >   перечислено в документации к base-passwd и не всё удаётся угадать по
> > >   имени.
> > > 2. Есть ли какой-нибудь штатный способ почистить ненужных
> > >   пользователей/группы? Ничего лучше поиска на диске файлов, я не
> > >   придумал.
> >
> >   Экие забавные мысли... Заглянул к себе в /etc/passwd и обнаружил там
> >   Slmodemd - привет от старого ноутбука)
> >
> >   Некоторые советы содержатся тут (раздел 12.1.12)
> >   https://www.debian.org/doc/manuals/securing-debian-howto/ch12.en.html
> >
> >   В сухом остатке - проверять, что у "подозреваемых" нет
> >   никаких файлов в системе:
> >   find / -fstype ext4 -user Slmodemd
> >   Ну, собственно, то что у вас в пункте 2 написано.
>
> Если при помощи «-fstab ext4» вы хотели записать условие на только корень, 
> без других подмонтированных в него разделов, то это можно более корректно 
> сформулировать как «-xdev».

  Нет, это я что бы find по сетевой файловой системе (afs) не лазил.
  А в локальных смонтированных пускай ищет. Вообще, да,
  правильнее было бы сначала сетевые fs остановить.

> А вообще, я не понял — поясните, пожалуйста, зачем это делать? Нужность 
> пользовательской записи так не проверить — пользователи для демонов создаются 
> не только и не столько для того, чтоб назначать их файлам.

 В моем понимании (возможно ошибочном) всякие системные пользователи
 нужны что бы различные демоны работали под соответствующими group/user ID.
 Соответственно, если пакет/демон снесли, то фалов принадлежащих этому
 пользователю быть бы не должно. Ну разве, что где-то типа /var/tmp.
 Может не 100%, но хоть какая-то зацепка.

Ю.