| 列表 | atq / at -l |
|---|---|
| 查看 | at -c 任务号 输出完整脚本 |
| 位置 | /var/spool/at 或 atjobs |
| 注意 | 任务执行后自动消失 |
列出并读取任务
列出并读取任务
atq
at -c 3 | tail -n 40
ls -la /var/spool/at/ /var/spool/cron/atjobs/ 2>/dev/null | headat 任务执行后即消失：发现可疑任务先 at -c 全量导出再决定删除。
本包目录（168 条）
应急流程与准备24 条进程与连接排查25 条账号与后门排查23 条
持久化与计划任务24 条
- 全用户 crontab 排查
- Windows Run 注册表启动项
- 自定义 systemd 服务排查
- 登录脚本持久化排查（profile 与 bashrc）
- Windows 计划任务排查
- 检查 /etc/crontab 与 /etc/cron.d
- 检查 /var/spool/cron 原始任务文件
- systemd timer 定时任务排查
- Windows 服务持久化排查
- 检查 cron.hourly 等目录与 anacron
- 容器环境持久化排查（Docker）
- Winlogon Userinit/Shell 劫持排查
- WMI 事件订阅持久化排查
- ld.so.preload 动态库劫持排查
- IFEO Debugger 映像劫持排查
- 检查 rc.local 与开机执行脚本
- 桌面自启 XDG autostart 排查
- Windows 启动文件夹排查
- SysV init 脚本与 rc 目录排查
- BITS 任务持久化排查
- udev 规则 RUN 后门排查
- 登录横幅脚本劫持（update-motd）
- at 一次性任务排查
- APT/DPKG 钩子后门排查
at 一次性任务排查
at 任务只执行一次、藏得比 cron 深：atq 列出，at -c 看内容，适合几小时后回来干活的延迟动作。
易错点
- 只查 cron 不查 at：延迟动作全在另一条队列
- 看到任务消失以为没跑：at 任务成功执行后自动清除
数据来源与参考
- at(1) 与 atd(8) 手册