服务器开机显示两个用户，通常意味着系统当前存在并发登录会话，这既可能是合法的运维管理行为，也可能是严重的安全入侵信号。核心结论是：管理员必须立即通过系统命令甄别这两个用户的身份、来源IP及进程行为，若发现异常，需强制下线并封锁漏洞，切勿心存侥幸。 这一现象的本质是系统资源访问权的争夺与控制,处理不当将导致数据泄露或服务瘫痪。
现象解析：为何开机或运行中会出现“两个用户”
在服务器运维实践中，服务器开机两个用户 并非罕见现象，但其背后的成因截然不同,理解成因是解决问题的第一步。
-
合法的运维场景：
- 多管理员协作：在大型企业中，不同职责的管理员可能同时登录，一人负责数据库维护,另一人负责网络配置。
- 会话未正确释放：管理员通过SSH或远程桌面连接后，未执行“logout”直接关闭窗口，导致系统认为会话仍在进行，此时新管理员再次登录,系统便会显示两个用户。
- 系统服务账号：某些应用服务（如MySQL、Apache）以特定用户身份运行，虽然通常不占用交互式登录会话,但在特定配置下可能被计入在线用户统计。
-
非法的安全威胁：
- 暴力破解成功：攻击者通过弱口令暴力破解，成功获取了服务器权限，正在与合法管理员“共存”于系统中。
- 横向移动痕迹：攻击者利用已控制的跳板机，尝试向内网服务器发起连接,试图窃取更高权限的数据。
- 后门账户活动：黑客创建的隐蔽账号（如名为“test”或类似系统服务名的账号）处于活跃状态。
紧急排查：三步定位用户身份与风险
面对这一状况，必须遵循“先取证、后处置”的原则，利用Linux/Windows系统原生工具进行深度排查。
-
第一步：查看在线用户与终端信息
- 执行
w或who命令,这是最直接的手段。 - 重点关注
FROM字段：该字段显示用户登录的源IP地址，如果显示的是内网IP且对应已知管理员终端，风险较低；若出现陌生外网IP，特别是来自海外或高危地区的IP,则极大概率为入侵者。 - 检查
LOGIN@时间：对比合法管理员的操作日志时间，判断登录时间是否异常,深夜非工作时间出现的登录会话极度可疑。
- 执行
-
第二步：追踪进程与资源占用
- 使用
ps -ef或top命令。 - 关联用户与进程：查看可疑用户启动了哪些进程，合法用户通常运行管理命令（vim, top, docker），而恶意用户常运行挖矿程序、扫描脚本或反向Shell进程。
- CPU/内存异常：若服务器负载飙升，且某未知用户进程占用大量资源,基本可判定为恶意入侵。
- 使用
-
第三步：审计系统日志与历史记录
- 检查
/var/log/secure(CentOS) 或/var/log/auth.log(Ubuntu)。 - 搜寻失败与成功记录：大量的“Failed password”后紧跟“Accepted password”,说明经历了暴力破解阶段。
- 查看用户家目录下的
.bash_history文件，还原攻击者的操作轨迹，如是否下载了恶意脚本、是否修改了防火墙规则。
- 检查
解决方案：分层处置与系统加固
根据排查结果，采取分级处理措施,确保业务连续性与数据安全。
-
合法的多用户登录（低风险）
- 沟通确认：通过内部通讯工具确认是否为同事操作。
- 会话管理：若发现是“僵尸会话”（长时间无操作），可使用
pkill -kill -t <TTY>命令踢出该终端,释放系统资源。 - 优化策略：配置
/etc/ssh/sshd_config文件，设置ClientAliveInterval和ClientAliveCountMax,自动断开空闲连接。
-
确认遭遇非法入侵（高风险）
- 立即阻断：使用
kill -9 <PID>终止恶意进程，执行pkill -u <baduser>强制踢出非法用户。 - 锁定账号：执行
passwd -l <username>锁定可疑账号,或直接删除恶意账号。 - 封禁IP：利用防火墙或
hosts.deny文件,永久封禁攻击源IP。 - 修补漏洞：修改所有高权限用户的密码，确保密码复杂度（大小写字母、数字、特殊符号组合，长度12位以上），检查并关闭不必要的端口,修复Web应用漏洞。
- 立即阻断：使用
长效防御：构建E-E-A-T标准的安全体系
为了避免再次出现被动局面，必须建立专业、权威、可信的安全运维体系。
-
最小权限原则
- 禁用Root直接远程登录，创建普通用户，仅通过
sudo授权必要的管理权限。 - 文件系统权限严格控制,防止提权攻击。
- 禁用Root直接远程登录，创建普通用户，仅通过
-
多因素认证（MFA）
- 核心防线：仅靠密码已无法抵御现代撞库攻击，部署Google Authenticator或硬件Key，实现登录时的二次验证，即使密码泄露,攻击者无动态验证码也无法登录。
-
入侵检测与审计
- 部署HIDS（主机入侵检测系统），实时监控文件篡改、异常登录和恶意进程。
- 定期进行日志审计，建立基线行为模型，任何偏离基线的“两个用户”现象都能触发即时告警。
相关问答
服务器显示两个用户，但我只开了一个窗口，是不是系统出错了？
答：这通常不是系统错误，而是会话残留，最常见的原因是您之前的连接非正常中断（如网络波动、直接关闭浏览器），系统未收到退出信号，保留了旧会话，您可以使用 w 命令查看TTY编号，使用 pkill -kill -t <TTY> 命令清理掉旧的残留会话即可。
发现可疑用户在线，但我无法通过Kill命令踢出，该怎么办？
答：这属于高危急情况，说明攻击者可能已获取Root权限并锁定了管理操作，此时应立即断开服务器的外网连接（拔线或在控制台禁用网卡），防止数据外传，随后通过服务器控制台（VNC/带外管理）进入单用户模式或救援模式，进行离线查杀和密码重置,必要时需联系专业安全厂商介入。
如果您在运维过程中也遇到过类似的用户登录异常情况,欢迎在评论区分享您的排查思路与解决方案。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/127145.html
