Linux 取证135 条

计划任务文件时间与一致性核对

对 crontab 与 cron.d 文件做时间戳盘点，可快速缩小“何时被加入”的窗口，并与 auth 日志、文件监视记录交叉定位改写者。

命令	stat、find -newermt
目标	spool 与 /etc/cron* 的 mtime

盘点

stat -c '%n | %y' /var/spool/cron/crontabs/* /etc/cron.d/* 2>/dev/null
find /etc/cron.d /var/spool/cron -newermt '2026-01-01' -type f 2>/dev/null

auditd 对 crontab 路径设置 -w 监视后，可直接得到写入者与精确时间。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌