在 Linux 系统中，用户账号是用户的身份标志，它由用户名和用户口令组成。系统将用户名存放在/etc/passwd 文件中，而将口令以加密的形式存放在/etc/shadow 文件中。在正常情况下，这些口令和其他信息由操作系统保护，能够对其进行访问的只能是超级用户 (root)和操作系统的一些应用程序。但是如果配置不当或在一些系统运行出错的情况下，这些信息可以被普通用户得到。进币，恶意用户就可以使用口令破解工具得到明文口令。
1.删除系统特殊的用户账号和组账号
有些用户或用户组为系统默认创建，在常用服务器中基本不使用这些账号，但是这些账号常被黑客利用和攻击服务器，例如图 7-27 的名为 news 的用户名。这些不用的账号，应该即时删除。如图 7陶28 所示，删除无用的 news 账号。

2. 用户密码设置
通过编辑 login.defs 文件，修改密码设置如图 7-29 所示。

图 7-29 Linux 打开 login.defs 文件
如图 7-30 所示，在 login.defs 文件中可以查看修改以下参数:
PASS MAX DAYS 密码设置最长有效期(默认值);
PASS-MIN-DAYS 密码设置最短有效期;
PASS WARN AGE 提前多少天警告用户密码即将过期。

3. 修改自动注销账户时间
在Linux 系统中 root 账户是具有最高特权的。如果系统管理员在离开系统之前忘记注销 root 账户，那将会带来很大的安全隐患。通过修改配置，可以使系统自幼注销 root账户。
编辑 profile 文件 (vi /etc/profile)，修改"HISTSIZE"参数的值，即注销等待时间，如图 7-31 所示。

4. 给系统的用户名密码存放文件加锁，防止非授权用户获得权限
用户和组密码存放在/etc/passwd、 /etc/shadow、 /etc/gshadow、 /etc/group 文件中，利用 chattr命令为用户和组设置为不可更改属性，如图 7-32 所示。