md-server 环境存在风险 www 和 mysql 用户默认可登录

最近切换到 md-server 面板了，一个很像宝塔的面板。今天修改用户的时候愕然发现该面板安装脚本创建的www和mysql用户指定了/bin/bash作为默认 shell，看过鸟叔书籍的都知道，这类用户最好设置为不能登录。

有什么风险？

问了一下 GPT，允许 www 用户登录可能带来以下几种风险：

www 用户通常与 web 服务器进程（如 Apache 或 Nginx）相关联，并且具有访问 web 根目录和 web 应用程序的权限。如果 www 用户能够登录，它可能会被用来执行恶意操作，例如修改 web 服务器配置文件、篡改网页内容、删除或修改网站数据等。

允许 www 用户登录增加了一个潜在的攻击入口。如果攻击者能够获取 www 用户的登录凭证，他们可以直接登录到服务器并进行进一步的渗透测试和攻击。

即使 www 用户本身权限有限，攻击者仍然可以利用各种漏洞尝试提升权限。例如，通过提权漏洞，攻击者可能会从 www 用户权限提升到 root 用户权限，从而完全控制服务器。

www 用户通常具有访问 web 应用程序数据的权限，包括用户数据、数据库配置等。通过登录 www 用户，攻击者可以窃取敏感信息并利用这些信息进行进一步的攻击或勒索。

攻击者可以利用 www 用户登录权限来停止 web 服务器或使其崩溃，从而导致服务中断。这可能会影响业务运营，造成经济损失和声誉损害。

允许 www 用户登录可以使攻击者更容易隐藏他们的活动。他们可以使用 www 用户身份执行恶意操作，而不会引起管理员的注意，因为这些操作可能看起来像是正常的 web 服务器行为。

禁止这两个用户登录即可

sudo usermod -s /usr/sbin/nologin www
sudo usermod -s /usr/sbin/nologin mysql