身份验证日志错误：这是黑客攻击吗？

Question

我刚刚查看了 auth.log 文件，发现了以下错误。有人能告诉我这是黑客攻击还是我安装的 Bugzilla 的日志并遇到了错误吗？

Mar 12 06:50:10 bigbugz02 su[13762]: Successful su for www-data by root
Mar 12 06:50:10 bigbugz02 su[13762]: + ??? root:www-data
Mar 12 06:50:10 bigbugz02 su[13762]: pam_unix(su:session): session opened for user www-data by (uid=0)
Mar 12 06:50:12 bigbugz02 su[13762]: pam_unix(su:session): session closed for user www-data

Answer 1

这是一个常见问题安全 Debian指南。以下是有关该主题的更多信息：

请参阅此处第 11.2.3 点

一般来说，这可能是一个 cron 任务。所以 - 它是安全的。

Answer 2

这通常是安全的。当应用程序由 root 用户启动时，它会以 www-data 用户身份启动它。

Answer 3

这意味着 cron 任务已执行。取决于您是否设置了 cron 任务，这可能意味着黑客攻击。

我发现我被黑了：

# crontab -l -u www-data
*/10 * * * * /var/tmp/iFuEAeuC >/dev/null 2>&1

我将该文件上传至virustotal，它说这是某种病毒......