Как найти беглеца Crontab

Crontabs живут в /etc/crontab и (со многими реализациями) его компоненты в /etc/cron.*/* (все отредактированные корнем), и в /var/spool/cron/* (crontabs пользователей).

При наличии затруднений при определении местоположения незаконного задания другой подход должен исследовать тот, в то время как это продолжается. Например, можно добавить правило брандмауэра зарегистрировать идентификатор пользователя процесса вводные соединения с example.com на порте 80:

iptables -A OUTPUT -p tcp --syn -d example.com --dport 80 -j LOG --log-prefix "[->example.com] " --log-uid

Если задание использует приложение такой как ping или curl, тень обычный двоичный файл оберткой, которая регистрирует информацию о том, что использует его со сценарием как этот в /usr/local/bin:

#!/bin/sh
{
  date
  echo "$0" "$@"
  ps -p $PPID
  echo
} >>"/tmp/$(basename "$0").log"
exec "/usr/bin/$(basename "$0")" "$@"

Быстрый и грязный путь:

grep -r ping /var/spool/cron/crontabs

Точное местоположение, где crontabs хранятся, может варьироваться от системы до системы, но это обычно находится в /var/spool и имеет crontab где-нибудь на имя.

Также обратите внимание, что много систем имеют систему crontabs (как в /etc/crontab, /etc/cron.d) некоторые из которых могут назвать больше сценариев как /etc/cron.hourly, .daily...

Это походит на cronjob, который был создан crontab. Не все crontabs имеют a -u переключатель, но для GNU/Linux это доступно. Это - удобная строка для списка всего cronjobs, созданного crontab.

for user in $(awk -F':' '{ print $1}' /etc/passwd); do crontab -u $user -l; done

(Выполненный как корень.)

Если все остальное перестало работать, можно сделать ловушку из URL, который она запрашивает - т.е. служите большому файлу или чему-то - и ищите процесс, это ожидает, чтобы получить данные и затем искать его PPID.

Любая достойная система должна объяснить точное местоположение crontabs в странице справочника (обычно в FILES разделите около конца, и также для другого dæmons).

В моей системе, например, cron(8) содержит следующее:

 FILES
      /etc/crontab          system crontab file
      /var/cron/atjobs      directory containing at(1) jobs
      /var/cron/log         cron's log file
      /var/cron/tabs        directory containing individual crontab files
      /var/cron/tabs/.sock  used by crontab(1) to tell cron to check for
                            crontab changes immediately

И я совет второго tylerl также проверить на at задания, в то время как Вы в нем.

Приближаясь к нему другой путь «Round: Cron» сохраняет журнал того, что он делает, именно избегать таких проблем в первую очередь. В моей системе журнал хранится в / var / cron / log и выглядит так:

==> /var/cron/log <==
Oct 25 00:21:01 fortress cron[20232]: (vucar) CMD (/home/vucar/lighttpd-watchdog)

Эта строка говорит мне, что экземпляр CRON с PID 20232 на машине является крепостью Выполнение / Home / Vcar / Lighttpd-watchdog От имени пользователя VUCAR . У хорошо поведенской системы есть только один CRON, поэтому это будет просто.

Это также работает для в работе в , поскольку они обычно просто передаются в Cron в любом случае:

==> /var/cron/log <==
Oct 25 00:28:01 fortress cron[31282]: (vucar) ATJOB (1414189680.c)