Обнаружение задач крона, выполненных другим пользователем
Я посмотрел на эту проблему также и подозреваю что строки:
gtk_text_view_set_pixels_above_lines(GTK_TEXT_VIEW(imhtml), 2);
gtk_text_view_set_pixels_below_lines(GTK_TEXT_VIEW(imhtml), 3);
в функции gtk_imhtml_init() в pidgin/gtkimhtml.c преступник. Таким образом, это кажется не пользователем, модифицируемым, не перекомпилировав программу.
Я смог скомпилировать и запустить гибридный язык, но я никогда не заставлял ту версию читать мою существующую конфигурацию учетной записи (и я не хотел устанавливать эту версию, прежде чем это будет работать). Таким образом, я не смог проверить, работает ли это на самом деле. Там не кажусь никакими другими соответствующими местами где это, (или gtk_text_view_get_pixels_inside_wrap()) назван.
Может быть, использование inotifywait в каталогах /proc/[0-9]+ позволит вам лучше увидеть кратковременные процессы.
. Глядя на проблему, этот метод атаки предполагает, что вы можете запустить сценарий и посмотреть, что работает на коробке, поэтому я бы написал сценарий, который просто выполняет дамп ps. -eaf каждые пару секунд, в конечном итоге это поймает cron, поскольку cron запускается раз в минуту.
Этот вектор атаки потребовал бы, чтобы вы наблюдали за запуском этого сценария, отмечали его местоположение и копали глубже.
В этом конкретном случае файл находится на / var / Spool / Cron / Crontabs / flag03 , и вы можете прочитать его с учетной записью Nebula .
Но уровень 03 не имеет достаточных привилегий для доступа к нему.
while true; do ps aux | egrep -v "grep|tail|aux" | tail -n 1; sleep 1; done
Какая версия Ubuntu? Если он использует systemd, вы можете полагаться на cron cgroup, созданную systemd, я полагаю, поскольку все процессы, запущенные cron, будут прямыми дочерними.
Один из вариантов получения этой информации - использовать команду ps с чем-то вроде:
ps -eo user,pid,cmd,unit | grep cron.service | grep flag03
Вы не можете. Самое близкое, что вы можете получить, это:
inotifywait -m /home/flag03/script
Это не покажет выполнение, но покажет, когда scriptоткрывается или к нему обращаются.