Software Frage CentOS 5 - Mysteriöser Cronjob; Wie aufspüren?

[Gwen Boiler]

Hallo, Ihr Lieben!

Mal eine Frage an die Linux-Admins und Consoleros unter Euch:
Ich habe hier einen Server, der unter CentOS läuft. Mysteriöserweise wird hier ein Cronjob ausgeführt, der weder in der Crontab des root eingetragen ist, noch in der eines anderen Nutzers.

Wenn ich

grep root /var/log/cron | grep rsync

in der Konsole eingebe, erhalte ich folgenden Output:

Jul  7 05:00:01 server crond[28382]: (root) CMD (rsync -avz -e ssh /home /var /etc username@backupserver.tld:server1_daily)

(Daten anonymisiert)

Tatsächlich wurde dieser Cronjob auch mal eines Tages eingerichtet, aber meiner Meinung nach auch entfernt. Trotzdem wird er fröhlich weiter ausgeführt.

Gebe ich als root in der Konsole:

crontab -l

ein, so taucht er nicht auf.

Auch ein

for user in $(cut -f1 -d: /etc/passwd); do crontab -u $user -l; done

bringt ihn nicht zu Tage.

Was tun? Ich würde diesen Cronjob wirklich gerne loswerden, aber ich finde ihn schlicht nicht...


Vielen Dank für jede eventuelle Hilfe im Voraus!

[DEMION]

var/spool/cron/[username]

Sorry Fußball - guckst Du selber :P

[sw-stefan]

es gibt unter /etc verzeichnisse, die je nach name hourly, daily, ... die skripte ausführen, die innerhalb dieser verzeichnisstruktur abgelegt sind (bzw. dorthin verlinkt)

ll /etc/cron.*

[deppjones21]

jo mal nen Blick in die Scripte da werfen:

/etc/cron.d
/etc/cron.daily
/etc/cron.weekly

[Gwen Boiler]

Herzlichen Dank Euch allen, aber verrückterweise ist der Job in keinem der Scripte/Verzeichnisse zu finden... Ich werde langsam meschugge hier!

*Menno* - Da denkt man immer, man wäre schon ein tolles Stück weiter im Administrieren des eigenen Servers und dann sowas!

[DEMION]

grep mal alles unter /

find . -exec grep -H -n 'rsync -avz -e ssh /home /var /etc username@backupserver.tld:server1_daily' {} \;

oder einen Teil des strings

[Gwen Boiler]

Dank Dir, DEMION. Der Befehl taucht doch tatsächlich nur in der .bash_history auf, weil ich ihn tatsächlich mal händisch eingegeben habe. Ich habe eine weitere Vermutung, die ich aber erst mal testen muss: Ich glaube, dass der Cronjob damals nicht via crontab -e, sondern mit vi manuell eingegeben und auch entfernt wurde.

crontab -e startet den cron prozess neu und bringt ihn dazu, die neue crontab zu lesen. Bei manueller Eingabe ohne Neustart ist es mir schon untergekommen, dass Jobs durchgeführt werden, obwohl sie eigentlich schon gelöscht sind.

Ich habe den cron prozess mal neugestartet und warte nun ab, ob morgen wieder das mysteriöse Backup via rsync durchgeführt wird. Werde berichten!

[DEMION]

Und?
Wurde der job noch ein mal ausgeführt?

[Gwen Boiler]

Ja, Wurde er...
Vielen Dank, dass Du nochmal nachfragst, aber es ist mir ehrlich gesagt ein bisschen peinlich... Aaaalso, Ich habe nochmal in /etc/crontab nachgeschaut und ihn wieder nicht entdeckt. Bis ich mal auf die Idee gekommen, im Text weiter nach unten zu scrollen... Nach vielen dutzend Leerzeilen tauchte er am Ende der Crontab auf. Keine Ahnung, wie die vielen Leerzeilen da gelandet sind. Aber gut, ich habe ihn jetzt entfernt und den Dienst neugestartet. Nun warte ich nochmal auf morgen, bin aber ziemlich zuversichtlich, dass das Problem gelöst ist. Nur komisch, dass der Eintrag auch beim "Komplett-Grep" nicht aufgetaucht ist...

Morgen bin ich hoffentlich klüger!

[DEMION]

dann bin ich auch guter Hoffnung, dass er nun gelöscht ist

Peinlich muss Dir das nicht sein - so sammeln wir alle Erfahrung