服务器中了木马后门如何排查定时任务计划

服务器中了木马后门时，排查定时任务计划需重点关注定时任务文件的创建、修改及执行权限，检查所有用户的定时任务配置文件及系统级调度目录，确认是否存在异常脚本或未知任务，同时结合权限限制措施辅助判断。 以下是具体排查步骤与要点：

• 用户级定时任务每个用户（包括root）的定时任务保存在/var/spool/cron/目录下，以用户名命名文件（如/var/spool/cron/root）。

  使用ls -l /var/spool/cron/查看所有用户的定时任务文件列表。

  若发现未知用户文件或非业务相关用户（如低权限用户突然出现定时任务），需重点检查。

• 系统级调度任务系统级定时任务通过crontab -e编辑，实际文件存储在/etc/crontab，同时包含以下子目录：

  /etc/cron.hourly/：每小时执行的任务。

  /etc/cron.daily/：每天执行的任务。

  /etc/cron.weekly/：每周执行的任务。

  /etc/cron.monthly/：每月执行的任务。

  /etc/cron.d/：管理员手动添加的自定义任务（需重点检查是否有新增文件）。

• 逐文件审查脚本内容

  对/var/spool/cron/下的每个文件，使用cat或less查看内容，确认任务是否为业务所需。

  重点关注以下异常特征：

  执行路径包含可疑目录（如/tmp/、/dev/shm/等临时目录）。

  脚本调用未知二进制文件或网络请求（如curl、wget下载外部脚本）。

  任务执行频率异常（如每分钟执行一次，而业务通常无需高频任务）。

• 检查系统级目录

  进入/etc/cron.hourly/、/etc/cron.daily/等目录，使用ls -la查看文件修改时间、权限及所有者。

  若发现非标准脚本（如文件名随机生成、修改时间为近期且非管理员操作时间），需进一步分析。

• 用户权限限制

  正常业务通常由特定用户（如root或专用业务用户）运行定时任务。可通过以下方式限制：

  白名单机制：在/etc/cron.allow中明确允许执行定时任务的用户（如仅保留root），其他用户将被禁止。

  黑名单机制：在/etc/cron.deny中列出禁止执行定时任务的用户（优先级低于cron.allow）。

  若发现低权限用户（如www-data、nginx）被添加到cron.allow或未被cron.deny限制，需排查是否为攻击者利用。

• 文件权限检查

  使用ls -l检查定时任务文件的权限，确保仅授权用户可读写。

  例如，若/var/spool/cron/普通用户文件权限为777，可能被攻击者篡改。

• cron文件替换风险若通过常规方法未发现异常，但怀疑黑客替换了cron相关文件（如/etc/crontab或/var/spool/cron/下的文件），需：

  对比备份文件（如有）或从干净系统复制原始文件。

  检查文件修改时间是否与入侵时间吻合。

• 寻求专业支持若确认存在高级隐藏后门（如通过内核模块或rootkit隐藏任务），建议联系网站安全服务公司（如SINE安全）进行深度排查与清除。

• 清理异常任务

  删除可疑定时任务文件（如rm /var/spool/cron/未知用户）。

  移除系统级目录中的非标准脚本（如rm /etc/cron.hourly/恶意脚本）。

• 限制定时任务权限

  启用白名单：创建/etc/cron.allow文件并写入授权用户（如root），同时确保/etc/cron.deny为空或不存在。

  修改文件权限：chmod 600 /var/spool/cron/*，确保仅用户本人可读写。

• 监控与审计

  定期检查定时任务文件修改时间（如find /var/spool/cron/ -mtime -1查找24小时内修改的文件）。

  启用系统审计日志（auditd）监控crontab相关操作。