Linux 取证135 条

本地邮件与 cron 输出痕迹

cron 任务的输出会以邮件形式投递给 root 或任务属主，邮件内容常包含脚本报错与路径，可反推任务行为。

位置	/var/mail/root、/var/spool/mail/root
来源	cron、at、系统告警

查看

ls -l /var/mail/ /var/spool/mail/ 2>/dev/null
tail -50 /var/mail/root 2>/dev/null

邮件头部时间与 Subject 中的 cron 任务名可直接用于时间线。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌