Linux 取证135 条

用户 crontab 与 spool 目录排查

用户级计划任务存放在 spool 目录，Debian 系为 /var/spool/cron/crontabs/<用户>，RHEL 系为 /var/spool/cron/<用户>，是持久化排查的高频落点。

目录	/var/spool/cron/crontabs/（Debian）、/var/spool/cron/（RHEL）
查看	crontab -l -u <用户>（root 可查任意用户）

排查

ls -la /var/spool/cron/crontabs/ 2>/dev/null || ls -la /var/spool/cron/
crontab -l -u www-data 2>/dev/null

crontab 内容用 cat 阅读，不要执行其中命令；处置前先留存原始文件哈希。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌