｜Top｜過去ログ目次｜掲示板｜

作成日：2007年01月26日　作成：おやじ
掲示板で過去に質問された内容です。

No.6702　nobodyでcronのログがでます

No.6702　投稿時間：2007年01月26日(Fri) 19:38　投稿者名：word　ＵＲＬ：
タイトル：nobodyでcronのログがでます

はじめまして。
cronのログについて少しお尋ねします。
先日、logwatchのレポートに
突然、以下のようなものが出てきました。

　Commands Run:
　　User nobody:
　　　personal crontab listed: 4 Time(s)

ログを確認しますと
　/var/log/cronの抜粋
　　/usr/bin/crontab[2200]: (root) LIST (nobody)

とでています。

特に、nobodyでcronの操作などを行ったことはありません。
いろいろ調べてみましたが、これといったものを
見つけることができませんでした。

これは、すでに侵入されてたりすることを意味するものなのでしょうか？
ご教授のほど、よろしくお願いいたします。

No.6708　投稿時間：2007年01月29日(Mon) 23:32　投稿者名：おやじ　ＵＲＬ：
タイトル：自分で何かしたのではないですか？

> cronのログについて少しお尋ねします。
> 先日、logwatchのレポートに
> 突然、以下のようなものが出てきました。
>
> 　Commands Run:
> 　　User nobody:
> 　　　personal crontab listed: 4 Time(s)
>
> ログを確認しますと
> 　/var/log/cronの抜粋
> 　　/usr/bin/crontab[2200]: (root) LIST (nobody)
>
> とでています。
>
> 特に、nobodyでcronの操作などを行ったことはありません。

これは、nobodyでcronの操作をしたのではなく、root権限でnobodyユーザのcrontabのlist出力をしたときのログです。
つまり、rootで以下のコマンドを打てば同じログが出ます。何か思い当たりませんか？

# /usr/bin/crontab -u nobody -l

> いろいろ調べてみましたが、これといったものを
> 見つけることができませんでした。
>
> これは、すでに侵入されてたりすることを意味するものなのでしょうか？

root権限でnobodyのcronのリストを見てもあまり意味がないと思うので、自分で何かしたのではないですか？

No.6712　投稿時間：2007年01月30日(Tue) 23:53　投稿者名：word　ＵＲＬ：
タイトル：Re: 自分で何かしたのではないですか？

おやじ様、投稿感謝いたします。ありがとうございます。

＞ # /usr/bin/crontab -u nobody -l

特に思い当たる節はないのです。
root権限でcrontab -eか-lしかしていないです。
自分でなにかしたとしましたら、簡単なシェルスクリプト３つ４つcronで動かしています。
それでも以前はこのようなログはでなかったのです。

＞root権限でnobodyのcronのリストを見てもあまり意味がないと思うので、自分で何かしたのではないですか？

そういわれてみますと、確かに意味ないことですね。
とても不可解ですＴＴ
もうしばらく調査してみることにします。

No.6722　投稿時間：2007年02月06日(Tue) 01:03　投稿者名：word　ＵＲＬ：
タイトル：原因

原因がわかりましたので、報告です。
chkrootkitを実行するとこのログがでます。
理由はわかりませんが、一安心です。
ありがとうございました。

No.6723　投稿時間：2007年02月06日(Tue) 19:12　投稿者名：おやじ　ＵＲＬ：
タイトル：ご報告ありがとうございます。

> 原因がわかりましたので、報告です。
> chkrootkitを実行するとこのログがでます。
> 理由はわかりませんが、一安心です。

ご報告ありがとうございます。
こうやって、結末を書いてくださるとこのスレは類似問題を抱える方への有効な情報になりますからね。
チョットみてみたら、現最新版のchkrootkit-0.47からcrontabのチェックをするようになっています。
判定基準は、おやじが前レスで記述した

# /usr/bin/crontab -l -u nobody

を実行して、nobodyユーザのcrontabが登録されているかどうかをチェックしているので、まさにこれが原因ですね。


｜掲示板｜▲頁先頭｜