前段时间，哥们的服务器被人反弹了shell，由于反弹的地址不可达，系统总是会发送一条mail邮件到root账户，导致入侵行为被发现，由于反弹的动作是通过crontab来定时执行的，所以来梳理下crontab相关的知识点
1.crontab填写格式
基本格式 :
* * * * * command
分 时 日 月 周 命令
第1列表示分钟1～59 每分钟用*或者 */1表示
第2列表示小时1～23（0表示0点）
第3列表示日期1～31
第4列表示月份1～12
第5列标识号星期0～6（0表示星期天）
第6列要运行的命令
每5分钟执行一次date命令
* /5 * * * * date
每个用户通过crontab -l可以查看当前用户级别下的定时任务，root账户可通过查看/var/spool/cron/{user} 查看不同用户的定时任务
/etc/crontab 存储的是系统级别的定时任务
2.查看crontab执行日志
cat /var/log/cron
上述定时任务在服务器不关机的情况下，会运行良好，但是如果使用的是笔记本或者经常关机的服务器的时候，crontab就力不从心了，因为当在指定时间运行的任务服务器处于关机的状态时，定时任务是不运行的，所以就要用到anacron
anacron适合于每天或每周或每个月执行一次的周期任务，配置文件是 /etc/anacrontab,配置文件格式如下
#period in days delay in minutes job-identifier command
1 5 cron.daily nice run-parts /etc/cron.daily
7 25 cron.weekly nice run-parts /etc/cron.weekly
@monthly 45 cron.monthly nice run-parts /etc/cron.monthly
period in days：定义任务执行的周期1-@daily,7-@weekly,30-@monthly
delay in minutes: 任务执行前等待的时间，以分钟计
job-identifier: 任务标识符，用于区分任务名称，在这个地方填写的标识符 会在 /var/spool/anacron/{job-identifer} 生成同名文件，该文件记录脚本执行的时间戳
command:定义要执行的命令
我编辑 /etc/anacrontab文件，添加如下行
@daily 2 cron.test echo 2017>>/tmp/2017
添加完成后，我执行关机操作，当我再次开机2分钟以后，在/tmp/2017文件能看到2017字符，并且，在/var/spool/anacron/目录下生成cron.test文件，该文件内容为今天的日期，
这样就能证明我们的推理，但是添加完成后，等待2分钟并没有发现该任务执行，这是为什么呢？查看下 /etc/cron.d/0hourly文件如下；
HELL=/bin/bash
PATH=/sbin:/bin:/usr/sbin:/usr/bin
MAILTO=root
HOME=/
01 * * * * root run-parts /etc/cron.hourly
上述脚本的意思是在每个小时会通过 run-parts脚本执行/etc/cron.hourly目录下的可执行文件 （run-parts命令在/usr/bin/run-parts 使用方法是在脚本后面跟上一个目录即可）
而/etc/cron.hourly/0anacron 脚本如下
#!/bin/bash
# Skip excecution unless the date has changed from the previous run
if test -r /var/spool/anacron/cron.daily; then
day=`cat /var/spool/anacron/cron.daily`
fi
if [ `date +%Y%m%d` = "$day" ]; then
exit 0;
fi
# Skip excecution unless AC powered
if test -x /usr/bin/on_ac_power; then
/usr/bin/on_ac_power &> /dev/null
if test $? -eq 1; then
exit 0
fi
fi
/usr/sbin/anacron -s
对比文件中的日期信息，如果不对应，会执行 anacron -s 命令，而anacron会读取配置文件 /etc/anacrontab 这个配置文件里面记录了每天，每周，每个月要执行的任务，所以可以理解为：
在centos6下，anacrontab的周期执行是依靠crontab在每个小时执行一次维持的，他们两个的区别如下：
综上，在排查后门的时候要排查的文件
/var/spool/cron/{user},
/var/spool/anacron/*
/etc/cron.d/*
/etc/cron.hourly,
/etc/cron.daily,
/etc/cron.weekly,
/etc/cron.monthly，
/etc/anacrontab
参考链接：https://www.tecmint.com/cron-vs-anacron-schedule-jobs-using-anacron-on-linux/