已删除帐户的 UID

Sam*_*Sam 6 linux users forensics

管理员如何找到被userdel命令删除的用户的UID ?

Eig*_*ony 12

通过查看/etc/passwd从用户删除之前的天/周/周期开始的系统备份。

如果userdel与 -r 一起使用,则主目录和用户的邮件假脱机都已消失。如果它没有与 -r 一起使用,请检查用户的邮件池,或者如果您很幸运,可以检查 crontab。

如果没有备份,并且没有您可以检查的该用户拥有的明显文件,那么您将需要在诸如/tmpUID 作为所有者的地方寻找文件并尝试解决它 - 但实际上,您的备份是您的最好的选择。

编辑:正如 jw013 指出的那样,您还可以find / -nouser用来查找文件 UID 没有匹配用户的文件。

  • 实际上,GNU `find` 有 [`-nouser`](http://www.gnu.org/software/findutils/manual/html_node/find_html/Owner.html#Owner) 测试用于此目的 - 它测试为真uid 不对应于系统上任何用户的文件。 (12认同)
  • @jw013 只有当您从系统中删除*仅*一个用户时,这种方法才有效,但是如果您的系统有 300 个用户,并且工作了 5 年,并且删除了数十个用户,则您根本无法使用此方法。 (4认同)
  • 您可以尝试:`find / -uid <UID>` 来查找用户拥有的*所有* 文件。`-uid` 至少是 GNU find 的一个选项。 (2认同)
  • 这是一个示例,仅描述了您的建议不起作用的情况。 (2认同)
  • 好吧, -nouser 与 -mtime 结合可以让您找出最近活动的无主文件,这可能会有所帮助。 (2认同)