| Debian/Ubuntu | /var/spool/cron/crontabs/ |
|---|---|
| RHEL/CentOS | /var/spool/cron/ |
| 检查 | 目录清单与文件内容、mtime |
| 差异 | crontab -l 看不到无主任务文件 |
直接翻任务文件
直接翻任务文件
ls -la /var/spool/cron/ /var/spool/cron/crontabs/ 2>/dev/null
cat /var/spool/cron/root 2>/dev/null
find /var/spool/cron -type f -exec ls -l {} + 2>/dev/null文件存在但账号已删除时任务仍会执行：这正是攻击者藏任务的方式之一。