Cronjobs folaithe mar chúldoras a aithint

Go achomair: Is ceann de na cúldoirse is coitianta ar fhreastalaithe Linux é cronjob folaithe: íoslódálann sé cód mailíseach go rialta nó atosaíonn sé próisis, fiú tar éis nuashonraithe PHP. Seiceáil gach áit do thascanna sceidealaithe, ní crontab -l amháin: crontabs gach úsáideora, /etc/crontab, /etc/cron.d, na fillteáin cron, amadóirí systemd agus jabanna at. Cosain faigheadh sula mbaineann tú iad.

Cén fáth go bhfuil cronjobs chomh móréilimh mar chúldoirse

Tar éis briste isteach rathúil, tá fadhb ag ionsaitheoir: tá a rochtain leochaileach. Dúnann nuashonrú an leochaileacht, scriosann riarthóir an webshell, stopann atosú an próiseas. Réitíonn cronjob an fhadhb seo. Tosaíonn sé orduithe ag amanna seasta gan go n-idirghabhann aon duine, agus athchóiríonn sé rochtana caillte mar sin.

Do PHP2Shell níl aon Indicators of Compromise deimhnithe ann. Ach de réir na dtuarascálacha atá againn, tá cronjobs nua i measc na gcomharthaí rabhaidh ginearálta tar éis briseadh isteach trí fheidhmchláir ghréasáin. An té a lorg webshells cheana, ba cheart dó na tascanna sceidealaithe a sheiceáil ag an am céanna. Liostálann an Seicliosta tar éis hackála céimeanna eile an iarobair.

Cá bhféadfadh tascanna sceidealaithe a bheith folaithe

Tá roinnt sásraí ag Linux do thascanna sceidealaithe. Teipeann ar go leor seiceálacha toisc nach mbreathnaítear ach ar cheann acu.

Tábhachtach do fhreastalaithe gréasáin: de ghnáth is féidir le húsáideoir an fhreastalaí gréasáin a chrontab féin a chruthú, gan cearta root. Dá bhrí sin ní theastaíonn leochaileacht bhreise ó ionsaitheoir le cearta www-data chuige sin. Ar an láimh eile, léiríonn iontrálacha in /etc/cron.d nó in units systemd gur fuair sé cearta root.

Tairgeann painéil óstála ar nós Plesk nó cPanel comhéadan dá gcuid féin do thascanna sceidealaithe. Taobh thiar de sin, de ghnáth, tá crontabs na n-úsáideoirí córais faoi seach freisin. An té nach mbreathnaíonn ach sa chomhéadan, ní aithníonn sé gach iontráil a cruthaíodh go díreach ar an bhfreastalaí. Seiceáil an dá cheann i gcás amhrais.

Conas gach áit a sheiceáil go hiomlán

Ní léann na horduithe seo ach. Rith iad mar root agus sábháil na haschuir le dáta.

# Crontabs gach úsáideora a aschur
for u in $(cut -d: -f1 /etc/passwd); do
  out=$(crontab -l -u "$u" 2>/dev/null) && printf '### %s\n%s\n' "$u" "$out"
done

# Iontrálacha córais ar fad agus amanna athraithe
cat /etc/crontab
ls -la --time-style=full-iso /etc/cron.d /etc/cron.hourly /etc/cron.daily /etc/cron.weekly /etc/cron.monthly

# Amadóirí systemd agus jabanna at
systemctl list-timers --all
atq 2>/dev/null

# Patrúin thipiciúla a chuardach i ngach comhad cron
grep -rnE "curl|wget|base64|/tmp/|/dev/shm|\| *(ba)?sh" /etc/crontab /etc/cron.* /var/spool/cron 2>/dev/null

Tuilleann dhá chleas aird speisialta. Folaíonn roinnt iontrálacha orduithe taobh thiar de go leor spásanna, ionas go n-imíonn siad as radharc ar dheis san eagarthóir. Úsáideann cinn eile carachtair rialaithe a scríobhann thar théacs agus é á thaispeáint. Le cat -A feictear carachtair den sórt sin:

cat -A /var/spool/cron/crontabs/www-data 2>/dev/null | less

Is dearcadh eile iad logaí na seirbhíse cron. Ar a lán córas taifeadann cron gach rith le húsáideoir agus ordú. Ar an gcaoi sin feiceann tú iontrálacha freisin a bhain ionsaitheoir de ó shin, agus aithníonn tú ó cathain a ritheann ordú amhrasach:

# Orduithe cron a ritheadh ag úsáideoir an fhreastalaí gréasáin (Debian/Ubuntu nó dialann systemd)
grep -h "CRON" /var/log/syslog* 2>/dev/null | grep -E "\((www-data|apache|nginx)\) CMD"
journalctl -u cron -u crond --since "2026-10-17" --no-pager 2>/dev/null | grep CMD | head -100

Conas cúldoras cronjob a aithint

1. Íoslódáil ón idirlíon: Íoslódáil a gcuirtear a toradh go díreach chuig sliogán.
2. Ábhar códaithe: Teaghráin fhada nach ndíchódaítear ach le linn ama rite.
3. Cosáin neamhghnácha: Cláir in /tmp, /dev/shm, fillteáin fholaithe nó eolairí uaslódála.
4. Úsáideoir mícheart: Tascanna faoi úsáideoir an fhreastalaí gréasáin cé nach bhfuil gá ag an bhfeidhmchlár leo.
5. Rithim shuntasach: Rith gach nóiméad nó le gach atosú trí @reboot.
6. Stampaí ama míchuí: Comhad athraithe i dtréimhse nár oibrigh aon duine ar an bhfreastalaí, mar shampla tar éis an 17 Deireadh Fómhair.

Ná déan dearmad: tá sceidil dá gcuid féin ag feidhmchláir freisin. Bainistíonn WordPress, mar shampla, tascanna sceidealaithe sa bhunachar sonraí. Conas é sin a sheiceáil, déanann Cúldoirse i WordPress a aimsiú cur síos air.

Fáil a chosaint, a thuiscint, agus ansin a bhaint

Píosa fianaise luachmhar is ea cronjob mailíseach. Taispeánann sé an seoladh íoslódála, am a chruthaithe agus go minic an t-úsáideoir trínar tháinig an t-ionsaitheoir. Cosain an comhad le suim sheiceála agus stampaí ama sula mbainfidh tú é. Cabhraíonn an stampa ama níos déanaí leis an gcúrsa a atógáil; conas é sin a dhéanamh, taispeánann An amlíne de theagmhas a chruthú é. Maidir le fógra féideartha don mhaoirseacht cosanta sonraí nó don árachóir, is cruthúnas tábhachtach an fáil ó cathain a raibh rochtain ag ionsaitheoir.

Ní leor bainte amháin. Má ritheann próiseas fós a scríobhann an iontráil arís, beidh sé ar ais tar éis an chéad nóiméad eile. Agus fad a bhíonn an leochaileacht bhunaidh oscailte, is féidir leis an ionsaitheoir tosú as an nua am ar bith. Dá bhrí sin is é an t-ord: cosain, dún an chúis, bain gach cuid, athraigh rochtana, déan faireachán.

Cronjobs a chosaint mar chosc

Chun nach dtiocfaidh cúldoras cronjob chun cinn ar chor ar bith nó go dtabharfar faoi deara go tapa é, cabhraíonn trí bhearta. Ar an gcéad dul síos is féidir a shocrú cé na húsáideoirí a fhéadfaidh crontab a chruthú ar chor ar bith. Má tá an comhad /etc/cron.allow ann, ní fhéadfaidh ach na húsáideoirí atá luaite ann crontab a úsáid. Mura bhfuil cronjob de dhíth ar d'fheidhmchlár faoi úsáideoir an fhreastalaí gréasáin, níl an t-úsáideoir sin ar an liosta. Seiceáil roimh ré cé na tascanna a theastaíonn ón bhfeidhmchlár i ndáiríre, agus cruthaigh iad d'aon ghnó faoi úsáideoir dá chuid féin.

Ar an dara dul síos is fiú monatóireacht a dhéanamh ar na comhaid. Tuairiscíonn uirlis seiceála sláine a luaithe a athraíonn comhad sna heolairí cron nó faoi /var/spool/cron. Ar an tríú dul síos, baineann tascanna sceidealaithe leis an doiciméadúchán ar an bhfreastalaí: an té a bhfuil a fhios aige cé na hiontrálacha atá le bheith ann, aithníonn sé ceann coimhthíoch láithreach.

Conas a chabhraíonn PHP SOS go praiticiúil?

• Seiceáil iomlán: Scrúdaímid gach sásra do thascanna sceidealaithe, amadóirí systemd, jabanna at agus sceidil feidhmchlár san áireamh.
• Fáil a mheas: Déanaimid iontrálacha amhrasacha a mheas gan iad a rith, agus díorthaímid rianta eile.
• Glanadh ceart: Leis an mBaint Mailware bainimid gach cuid agus dúnaimid an chúis.
• Filleadh a aithint: Bunaímid monatóireacht a thuairiscíonn tascanna sceidealaithe nua nó athraithe.

Ceisteanna coitianta

Foinsí

• BSI: Oifig Chónaidhme na Gearmáine um Shlándáil Faisnéise
• BSI IT-Grundschutz
• OWASP Cheat Sheet Series