Mac使用dscl命令排查黑客入侵后的疑问咨询

别慌！你用dscl命令查到的这些用户全都是Mac系统自带的后台服务账户，完全不是黑客或者病毒，先放宽心～

我来逐个给你解释一下你看到的内容：

• 首先注意到这些用户名都是以_开头的，这类账户都是系统内置的“服务账户”——它们不是给真人登录用的，而是用来运行Mac后台各种必要服务的特殊账户。
• 关于_amavisd：这个账户对应的是AMaViS邮件扫描服务，它的作用是帮系统扫描邮件里的可疑内容，/var/virusmails是它用来隔离可疑邮件的目录，完全是正常的系统配置，和病毒半毛钱关系都没有！
• 至于UserShell: /usr/bin/false：这个设置是系统特意加的安全措施——因为这些服务账户根本不需要登录系统，所以给它们设置一个无法登录的shell，防止有人通过这些账户非法登录，反而说明系统在正常保护自己，不是什么“无法追踪”的异常用户。

再看你列出的其他账户：

• _analyticsd是负责收集系统使用分析数据的服务账户，用来优化系统体验；
• _appinstalld是后台处理应用安装流程的服务账户，你平时装App Store或者第三方应用时，它就在默默干活。

如果你还是担心系统有异常，可以做这几件简单的检查：

1. 打开「系统设置」-「通用」-「登录项」，看看有没有陌生的自动启动程序；
2. 用Mac自带的XProtect（已经默认开启）或者免费版的Malwarebytes做一次病毒扫描；
3. 打开「控制台」应用，搜索“login”关键词，看看有没有陌生的登录记录。

备注：内容来源于stack exchange，提问作者Sara Xzy