| 位置 | /var/log/cron、/var/log/syslog 或 journalctl -u cron |
|---|---|
| 内容 | CMD 行含实际命令与执行用户 |
| 对照 | crontab -l、/etc/cron.d 与 spool 文件 |
| 异常 | 有执行记录但配置中找不到对应行 |
查 cron 执行记录
查 cron 执行记录
journalctl -u cron --since "today" --no-pager | tail -n 40
grep -h 'CRON' /var/log/syslog 2>/dev/null | tail -n 30
grep -h 'CMD' /var/log/cron 2>/dev/null | tail -n 30攻击者的 cron 常「跑一次就删」：执行历史是抓现行与取证的关键，先保全再清理配置。