禁用受感染的用户帐户

Question

我有一个简单的问题要问你，至少，比“我如何清理被盗用的用户帐户？”要简单得多。问题是：“如何禁用被盗用的用户帐户？” 有一些明显的事情要做：

• 禁用用户登录（我们通过将他们的主目录更改为 /disabled/home/user 来完成此操作）
• 禁用用户 Apache 网站（再次，但替换为虚假路径。）
• 使用杀死所有用户进程 pkill -9 -u username
• 检查他们没有假脱机的 cronjobs

那么，如果他们的进程在完成这些事情后神秘地恢复了，我们错过了什么？

Answer 1

我也会做以下事情：

 a. Disable the account password, via passwd -l
 b. Change the users' login shell to /bin/false
 c. Remove the users' .ssh directory
 d. Remove the users' .rhosts file