# Cronjobs folaithe mar chúldoras a aithint

> Cúldoras cronjob a aithint: gach áit do thascanna sceidealaithe faoi Linux a sheiceáil, iontrálacha amhrasacha a léirmhíniú agus fáil a chosaint.

Foinse: https://phpsos.de/ga/blog/cronjobs-als-hintertuer/  
Staid: 25/10/2026  
Soláthraí: PHP SOS, Cabhair éigeandála PHP agus slándáil freastalaí. Cabhair láithreach trí WhatsApp: https://wa.me/491736494914?text=Dia%20duit%2C%20a%20PHP%20SOS%2C%20t%C3%A1%20cabhair%20de%20dh%C3%ADth%20orainn%20len%C3%A1r%20bhfreastala%C3%AD%20PHP.%20Cuideachta%3A%20%E2%80%A6%20Su%C3%ADomh%20gr%C3%A9as%C3%A1in%3A%20%E2%80%A6

**Go achomair:** Is ceann de na cúldoirse is coitianta ar fhreastalaithe Linux é cronjob folaithe: íoslódálann sé cód mailíseach go rialta nó atosaíonn sé próisis, fiú tar éis nuashonraithe PHP. Seiceáil gach áit do thascanna sceidealaithe, ní `crontab -l` amháin: crontabs gach úsáideora, `/etc/crontab`, `/etc/cron.d`, na fillteáin cron, amadóirí systemd agus jabanna at. Cosain faigheadh sula mbaineann tú iad.

## Cén fáth go bhfuil cronjobs chomh móréilimh mar chúldoirse

Tar éis briste isteach rathúil, tá fadhb ag ionsaitheoir: tá a rochtain leochaileach. Dúnann nuashonrú an leochaileacht, scriosann riarthóir an webshell, stopann atosú an próiseas. Réitíonn cronjob an fhadhb seo. Tosaíonn sé orduithe ag amanna seasta gan go n-idirghabhann aon duine, agus athchóiríonn sé rochtana caillte mar sin.

Do PHP2Shell níl aon Indicators of Compromise deimhnithe ann. Ach de réir na dtuarascálacha atá againn, tá cronjobs nua i measc na gcomharthaí rabhaidh ginearálta tar éis briseadh isteach trí fheidhmchláir ghréasáin. An té a lorg webshells cheana, ba cheart dó na tascanna sceidealaithe a sheiceáil ag an am céanna. Liostálann an [Seicliosta tar éis hackála](https://phpsos.de/ga/ratgeber/checkliste-nach-dem-hack/) céimeanna eile an iarobair.

## Cá bhféadfadh tascanna sceidealaithe a bheith folaithe

Tá roinnt sásraí ag Linux do thascanna sceidealaithe. Teipeann ar go leor seiceálacha toisc nach mbreathnaítear ach ar cheann acu.

| Áit | Debian/Ubuntu | Teaghlach RHEL | Cé a fhéadfaidh scríobh |
|---|---|---|---|
| Crontab do gach úsáideoir | `/var/spool/cron/crontabs/` | `/var/spool/cron/` | an t-úsáideoir faoi seach |
| Crontab chórais ar fad | `/etc/crontab` | `/etc/crontab` | root |
| Comhaid aonair | `/etc/cron.d/` | `/etc/cron.d/` | root |
| Fillteáin thréimhsiúla | `/etc/cron.hourly` go `/etc/cron.monthly` | mar an gcéanna | root |
| Amadóirí systemd | `/etc/systemd/system/`, units úsáideora | mar an gcéanna | root, cuid acu úsáideoirí |
| Jabanna at | scuaine `atd` | mar an gcéanna | úsáideoir, má cheadaítear | 

Tábhachtach do fhreastalaithe gréasáin: de ghnáth is féidir le húsáideoir an fhreastalaí gréasáin a chrontab féin a chruthú, gan cearta root. Dá bhrí sin ní theastaíonn leochaileacht bhreise ó ionsaitheoir le cearta `www-data` chuige sin. Ar an láimh eile, léiríonn iontrálacha in `/etc/cron.d` nó in units systemd gur fuair sé cearta root.

Tairgeann painéil óstála ar nós Plesk nó cPanel comhéadan dá gcuid féin do thascanna sceidealaithe. Taobh thiar de sin, de ghnáth, tá crontabs na n-úsáideoirí córais faoi seach freisin. An té nach mbreathnaíonn ach sa chomhéadan, ní aithníonn sé gach iontráil a cruthaíodh go díreach ar an bhfreastalaí. Seiceáil an dá cheann i gcás amhrais.

## Conas gach áit a sheiceáil go hiomlán

Ní léann na horduithe seo ach. Rith iad mar root agus sábháil na haschuir le dáta.

```bash
# Crontabs gach úsáideora a aschur
for u in $(cut -d: -f1 /etc/passwd); do
  out=$(crontab -l -u "$u" 2>/dev/null) && printf '### %s\n%s\n' "$u" "$out"
done

# Iontrálacha córais ar fad agus amanna athraithe
cat /etc/crontab
ls -la --time-style=full-iso /etc/cron.d /etc/cron.hourly /etc/cron.daily /etc/cron.weekly /etc/cron.monthly

# Amadóirí systemd agus jabanna at
systemctl list-timers --all
atq 2>/dev/null

# Patrúin thipiciúla a chuardach i ngach comhad cron
grep -rnE "curl|wget|base64|/tmp/|/dev/shm|\| *(ba)?sh" /etc/crontab /etc/cron.* /var/spool/cron 2>/dev/null
```

Tuilleann dhá chleas aird speisialta. Folaíonn roinnt iontrálacha orduithe taobh thiar de go leor spásanna, ionas go n-imíonn siad as radharc ar dheis san eagarthóir. Úsáideann cinn eile carachtair rialaithe a scríobhann thar théacs agus é á thaispeáint. Le `cat -A` feictear carachtair den sórt sin:

```bash
cat -A /var/spool/cron/crontabs/www-data 2>/dev/null | less
```

Is dearcadh eile iad logaí na seirbhíse cron. Ar a lán córas taifeadann cron gach rith le húsáideoir agus ordú. Ar an gcaoi sin feiceann tú iontrálacha freisin a bhain ionsaitheoir de ó shin, agus aithníonn tú ó cathain a ritheann ordú amhrasach:

```bash
# Orduithe cron a ritheadh ag úsáideoir an fhreastalaí gréasáin (Debian/Ubuntu nó dialann systemd)
grep -h "CRON" /var/log/syslog* 2>/dev/null | grep -E "\((www-data|apache|nginx)\) CMD"
journalctl -u cron -u crond --since "2026-10-17" --no-pager 2>/dev/null | grep CMD | head -100
```

## Conas cúldoras cronjob a aithint

1. **Íoslódáil ón idirlíon:** Íoslódáil a gcuirtear a toradh go díreach chuig sliogán.
2. **Ábhar códaithe:** Teaghráin fhada nach ndíchódaítear ach le linn ama rite.
3. **Cosáin neamhghnácha:** Cláir in `/tmp`, `/dev/shm`, fillteáin fholaithe nó eolairí uaslódála.
4. **Úsáideoir mícheart:** Tascanna faoi úsáideoir an fhreastalaí gréasáin cé nach bhfuil gá ag an bhfeidhmchlár leo.
5. **Rithim shuntasach:** Rith gach nóiméad nó le gach atosú trí `@reboot`.
6. **Stampaí ama míchuí:** Comhad athraithe i dtréimhse nár oibrigh aon duine ar an bhfreastalaí, mar shampla tar éis an 17 Deireadh Fómhair.

Ná déan dearmad: tá sceidil dá gcuid féin ag feidhmchláir freisin. Bainistíonn WordPress, mar shampla, tascanna sceidealaithe sa bhunachar sonraí. Conas é sin a sheiceáil, déanann [Cúldoirse i WordPress a aimsiú](https://phpsos.de/ga/ratgeber/backdoor-wordpress-finden/) cur síos air.

> **Tábhachtach:**
> Is annamh a thagann cronjob ina aonar. An té a chruthaigh tasc sceidealaithe, is minic a shocraigh sé eochracha SSH nó a chuir comhaid i bhfolach freisin. Seiceáil na heochracha freisin, mar a dhéantar cur síos air san alt [Eochracha SSH anaithnide a aimsiú](https://phpsos.de/ga/blog/ssh-schluessel-pruefen/).

## Fáil a chosaint, a thuiscint, agus ansin a bhaint

Píosa fianaise luachmhar is ea cronjob mailíseach. Taispeánann sé an seoladh íoslódála, am a chruthaithe agus go minic an t-úsáideoir trínar tháinig an t-ionsaitheoir. Cosain an comhad le suim sheiceála agus stampaí ama sula mbainfidh tú é. Cabhraíonn an stampa ama níos déanaí leis an gcúrsa a atógáil; conas é sin a dhéanamh, taispeánann [An amlíne de theagmhas a chruthú](https://phpsos.de/ga/blog/zeitleiste-eines-vorfalls/) é. Maidir le fógra féideartha don mhaoirseacht cosanta sonraí nó don árachóir, is cruthúnas tábhachtach an fáil ó cathain a raibh rochtain ag ionsaitheoir.

Ní leor bainte amháin. Má ritheann próiseas fós a scríobhann an iontráil arís, beidh sé ar ais tar éis an chéad nóiméad eile. Agus fad a bhíonn an leochaileacht bhunaidh oscailte, is féidir leis an ionsaitheoir tosú as an nua am ar bith. Dá bhrí sin is é an t-ord: cosain, dún an chúis, bain gach cuid, athraigh rochtana, déan faireachán.

## Cronjobs a chosaint mar chosc

Chun nach dtiocfaidh cúldoras cronjob chun cinn ar chor ar bith nó go dtabharfar faoi deara go tapa é, cabhraíonn trí bhearta. Ar an gcéad dul síos is féidir a shocrú cé na húsáideoirí a fhéadfaidh crontab a chruthú ar chor ar bith. Má tá an comhad `/etc/cron.allow` ann, ní fhéadfaidh ach na húsáideoirí atá luaite ann `crontab` a úsáid. Mura bhfuil cronjob de dhíth ar d'fheidhmchlár faoi úsáideoir an fhreastalaí gréasáin, níl an t-úsáideoir sin ar an liosta. Seiceáil roimh ré cé na tascanna a theastaíonn ón bhfeidhmchlár i ndáiríre, agus cruthaigh iad d'aon ghnó faoi úsáideoir dá chuid féin.

Ar an dara dul síos is fiú monatóireacht a dhéanamh ar na comhaid. Tuairiscíonn uirlis seiceála sláine a luaithe a athraíonn comhad sna heolairí cron nó faoi `/var/spool/cron`. Ar an tríú dul síos, baineann tascanna sceidealaithe leis an doiciméadúchán ar an bhfreastalaí: an té a bhfuil a fhios aige cé na hiontrálacha atá le bheith ann, aithníonn sé ceann coimhthíoch láithreach.

## Conas a chabhraíonn PHP SOS go praiticiúil?

- **Seiceáil iomlán:** Scrúdaímid gach sásra do thascanna sceidealaithe, amadóirí systemd, jabanna at agus sceidil feidhmchlár san áireamh.
- **Fáil a mheas:** Déanaimid iontrálacha amhrasacha a mheas gan iad a rith, agus díorthaímid rianta eile.
- **Glanadh ceart:** Leis an [mBaint Mailware](https://phpsos.de/ga/leistungen/malware-entfernung/) bainimid gach cuid agus dúnaimid an chúis.
- **Filleadh a aithint:** Bunaímid monatóireacht a thuairiscíonn tascanna sceidealaithe nua nó athraithe.


## Ceisteanna coitianta

**Cén fáth a n-úsáideann ionsaitheoirí cronjobs?**  
Tosaíonn cronjob orduithe go rialta agus gan aon ghníomh breise. Leis, íoslódálann ionsaitheoirí cód mailíseach, cruthaíonn siad comhaid scriosta as an nua nó tosaíonn siad próisis arís. Mar sin maireann a rochtain nuashonrú agus go minic glanadh dromchlach freisin.

**An leor crontab -l don tseiceáil?**  
Ní leor. Ní thaispeánann crontab -l ach crontab an úsáideora reatha. Tá tascanna sceidealaithe freisin i gcrontabs úsáideoirí eile, in /etc/crontab, in /etc/cron.d, sna fillteáin cron.daily, in amadóirí systemd agus i jabanna at.

**Conas a aithním cronjob mailíseach?**  
Is tipiciúil iad íoslódálacha ón idirlíon le rith díreach, orduithe le teaghráin chódaithe, cláir i bhfillteáin shealadacha, tascanna faoi úsáideoir an fhreastalaí gréasáin agus iontrálacha a ritheann gach nóiméad. Is leid é gné aonair, is amhras tromchúiseach iad roinnt acu.

**An féidir liom cronjobs amhrasacha a scriosadh díreach?**  
Cosain ar dtús, bain ansin. Nochtann an iontráil go minic an bunús, an seoladh íoslódála agus codanna eile. Gan a shoiléiriú conas a tháinig sé chun cinn, cruthaíonn an t-ionsaitheoir as an nua é go minic.

## Foinsí

- [BSI: Oifig Chónaidhme na Gearmáine um Shlándáil Faisnéise](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)