排查cron.d下非标准身份采集定时任务，需重点检查文件权限（应为root:root、0644）、文件名异常（如随机字符串或伪装名）、修改时间突变，并分析命令是否含敏感操作（如读取bash_history、SSH密钥、/proc/*/mem）、混淆手法（Base64、sh -c curl）及异常重定向（/tmp、/dev/shm），再通过模拟执行、网络溯源和系统调用审计交叉验证。
排查 cron.d 目录下植入的非标准身份采集定时任务，核心在于识别异常权限、异常路径、可疑命令和非常规执行时间。这类任务常被用于隐蔽收集用户凭证、SSH密钥、环境变量或内存中明文密码，需结合文件属性、命令行为与系统上下文综合判断。
检查 cron.d 文件基础属性与来源
cron.d 下的文件默认由 root 管理，普通用户不应有写权限。重点核查：
- 属主与权限：运行 ls -l /etc/cron.d/，确认所有文件属主为 root，权限为 0644（即 -rw-r--r--）；若出现 root:wheel、root:users 或权限含 w（如 0664）、x（如 0744），需立即隔离
- 文件名异常性：合法文件通常语义明确（如 0hourly、sysstat）；若发现类似 logrotate2、tmpclean、_cron_job 或含随机字符串（如 a1b2c3d4）的文件，优先审查
- 修改时间突变：使用 stat /etc/cron.d/* 2>/dev/null | grep -E "(File|Modify)" 比对最近一次修改时间；若多个文件在攻击窗口期（如某次漏洞利用后数小时内）集中变更，高度可疑
分析定时任务语法与执行命令
cron.d 条目格式为：MIN HOUR DOM MON DOW USER CMD，重点验证 CMD 字段是否具备身份采集特征：
- 敏感命令组合：检查是否调用 cat ~/.bash_history、find /home -name "*.ssh" -type d 2>/dev/null、ps auxww | grep -i "pass\|key\|cred"、strings /proc/*/mem 2>/dev/null | grep -i "password\|token" 等高风险操作
- 混淆与隐藏手法：警惕 Base64 编码命令（如 echo "Y3VybCBodHRwOi8vLi4u"|base64 -d|bash）、十六进制转义（printf '\x63\x61\x74\x20\x2f...' | bash）、或通过 sh -c "$(curl -s ...)" 动态加载远程 payload
- 输出重定向异常：正常系统任务极少将 stdout/stderr 写入非日志路径；若发现 >> /tmp/.cache.log、2>&1 >> /dev/shm/.sess 或写入 /var/tmp 下隐藏文件，需提取内容分析
关联验证进程与网络行为
单看 cron 条目不足以确认恶意性，需结合运行时行为交叉验证：
- 模拟执行并观察子进程：临时注释可疑条目（加 #），手动以对应 USER 身份执行 CMD 部分（如 sudo -u www-data bash -c "..."），用 ps auxf --forest 查看是否衍生出 curl、wget、nc、socat 等外连工具
- 检查网络连接目标：若命令中含 URL 或 IP，用 dig +short 域名 或 whois IP 查注册信息；特别关注域名含 cdn、cloudflare 但实际未备案，或 IP 属于已知恶意 C2（可查 AlienVault OTX、VirusTotal）
- 审计系统调用痕迹：对疑似文件执行时间点，用 ausearch -m execve -ts recent --start recent | grep -i "cron\|bash\|sh"（需 auditd 开启）查看是否触发过敏感系统调用
自动化筛查建议
日常加固中可部署轻量脚本快速过滤风险项：
- 运行以下命令一键列出高危特征文件：
grep -r -E "(bash_history|\.ssh|/proc/.*mem|password|passwd|token|credential|base64.*echo|sh -c.*curl|>> /tmp|>> /dev/shm)" /etc/cron.d/ 2>/dev/null - 检查是否存在非 root 用户定义的执行者：
awk '$6 != "root" {print $0}' /etc/cron.d/* 2>/dev/null - 比对白名单（如仅允许 sysstat、0hourly、certwatch）以外的文件：
comm -13 /dev/null | sort)
