關于在linux在排查木馬時查看定時任務，那定時任務是什么，其實它就是定時定點的執行Linux程序或者一個腳本。那如何創建定時任務，很簡單，我們通過這個命令，每一個用戶都可以創建自己的定時任務，使用一個編輯器打開它，這里就可以創建一個定時任務，定時任務保存的路徑一共有這么幾個。看一下這里沒有權限，咱們切root用戶這6個文件，這是我剛才創建定時任務的賬戶，那它的定時任務是以用戶名命名的，看一下里邊內容，這也就是剛才咱們編輯的這個內容。1234512345，沒問題，應該時間還沒到。咱們再看一下。
那第二個是一個調度任務文件，這里邊也可以創建定時任務的，那檢查的時候要看這里邊是不是有新的增加，那有的話就得讓運維那邊確認一下是不是正常業務。這里就不用說了，它也是一樣的，只是他們分了一下就是每小時執行的文件夾，這是每天執行的文件夾，咱們進一個每個月的，比如這里有一個腳本，那么每個月都會執行一次，看一下擴展知識，我們任意用戶都可以創建定時任務，是不是很危險。
因為正常的業務一般是由一個用戶去運行的，那這個用戶它是一個普通權限或者一個root權限。這時候可以做一個限制，就是黑白名單那這個其實是白名單的方式，哪些用戶可以需要執行的放到這里。比如我在這里加一個 root，說明只有root可以執行定時任務。那我用現在當前用戶是誰是whoami。看，他不允許我執行定時任務了，這也是一個限制的措施。一旦低權限用戶，攻擊之后，他就不能創建定時任務，這原理也是一樣的。那如果解除的話大家要刪除，不刪除的話，在我的實驗里它是不允許比如咱們清空這個文件，那么它不允許所有用戶建立是任務了。如果從任務計劃里看不到一些木馬后門的執行計劃的話很有可能黑客替換了croud文件植入了隱藏級的后門木馬，如果碰到這樣高級的黑客無法排查的話可以向網站安全服務公司SINE安全尋求技術支持。
