linux服务器crontab定时任务文件被篡改

Question

服务器crond定时任务自己变成了如下任务（文件/etc/crontab），且手动修改一段时间后会自己变回来（修改的是/var/spool/cron/root文件），卸载crontab重装也没用。想问下是怎么回事？谢谢！

Answer 1

该回答引用自GPT-3.5,由博主GISer Liu编写：

首先，服务器的 crontab 文件被篡改是一个非常严重的安全问题，需要立即解决。根据你的描述，这种情况下即使重装 crontab
也无济于事，这可能意味着系统存在漏洞或者恶意软件。以下是我对这个问题的分析和解决方案：

问题分析：

1. 被篡改的文件 ：你提到的两个文件 /etc/crontab 和 /var/spool/cron/root 都是与 crontab 相关的重要文件。这些文件被篡改，表明可能有人或者某个程序以 root 权限访问并修改了它们。
2. 自动回滚 ：修改一段时间后自动恢复，这表明可能有一个自动化的程序在运行，不断地修改这些文件。
3. 重装 crontab 无效 ：即使重装 crontab，问题仍然存在，这可能意味着问题不仅仅局限于 crontab 本身，可能存在系统级别的问题。

   解决方案：

4. 排查安全漏洞 ：首先，需要排查系统中是否存在安全漏洞。可以使用安全扫描工具如 ClamAV 或者 Lynis 来扫描系统，查找潜在的漏洞。
5. 检查系统日志 ：查看系统日志，特别是 /var/log/messages 或 /var/log/syslog 文件，看看是否有异常登录或者异常操作的记录。
6. 限制权限 ：限制对 crontab 相关文件的访问权限，确保只有授权用户可以修改这些文件。可以通过修改文件的权限和所属用户组来实现。
7. 查杀恶意软件 ：使用杀毒软件对系统进行全面扫描，确保系统中没有恶意软件。
8. 更新系统 ：确保系统和所有安装的软件都是最新版本，以修复已知漏洞。
9. 监控变化 ：设置监控系统，定期检查 crontab 相关文件的变化，并及时发出警报。
10. 审查系统配置 ：审查系统的配置，确保没有开放不必要的服务或者端口，以降低系统被攻击的风险。
11. 备份重要数据 ：定期备份系统和重要数据，以防止数据丢失或者被篡改。
    以上是我对这个问题的解决方案的建议。如果你需要更详细的步骤或者有任何其他问题，请随时告诉我。

如果该回答解决了您的问题，请采纳！如果没有，请私信联系或评论您的疑惑