Особенно интересны passwd с машин, которые выполняют роль серверов. Если что некоторые строчки можете опустить, тем более если это строчки с записями «живых» пользователей системы, ну или сменить имя пользователей. Особенно интересны следующие юзеры: daemon, bin, sys, games, man, lp, mail, news, uucp, proxy, www-data, backup, list, irc, nobody, libuuid. Юзеров Ubuntu 14.04 и wheezy прошу не беспокоить (последним стоит сменить /bin/sh на nologin и false). Просто я заметил, что во многих дистрибутивах стандартно достаточно щадящая политика по отношению к системным пользователям по умолчанию. Интересно будет посмотреть, в каких дистрибутивах особенно халатно относятся к данному вопросу.
UPDATE
В целом, как я посмотрел в новых дистрибутивах проблема отсутствует. Из тех, же которые могу привести в плохой пример это Ubuntu 12.04 и Debian Wheezy и следовательно проблема скорей всего касается более старых версий в линейки.
Это своего рода legacy от которого в целях здравого смысла решили отказаться. Например тут есть объяснение. Особенно внимательно стоит отнестись к юзеру www-data или его аналогу в вашем дистрибутиве, и не давать ему /bin/sh без реальной необходимости. В некоторых дистрибутивах же стоит также обратить внимание на аккаунт games, которому могут давать доступ к /bin/bash, что может быть рационально на десктопе, но не рационально в других юзкейсах. В целом, лучше ограничить всех системных юзеров, как и делается по умолчанию во всех актуальных дистрибутивах.
Также стоит заметить, что если шелл не указан, то по дефолту будет /bin/sh и в актуальной Ubuntu 14.04 есть проблемас этим, для пользователя libuuid, которая может привести к потенциальной проблеме.
