mcpField
A
analyzing-persistence-mechanisms-in-linux

analyzing-persistence-mechanisms-in-linux

github.com/mukul975安全35.2k322 次安装8 周前更新
代码仓库

关于 analyzing-persistence-mechanisms-in-linux

该技能为 Linux 安全分析人员和事件响应团队提供持久化机制排查流程。它检查常见驻留位置，并结合 auditd 日志构建安装时间线和风险报告。

主要功能

  1. 01扫描 cron、systemd 和 init 持久化项
  2. 02检查 LD_PRELOAD 与 Shell 配置
  3. 03审计 SSH authorized_keys
  4. 04关联 auditd 日志构建时间线
  5. 05生成风险评分报告和修复命令

适用场景

  1. 01调查 Linux 安全事件中的持久化
  2. 02制定相关检测规则或威胁狩猎查询
  3. 03验证持久化攻击技术的监控覆盖

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-persistence-mechanisms-in-linux

安装后在 Claude Code 中输入/analyzing-persistence-mechanisms-in-linux确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

分析 Linux 中的持久化机制

概述

攻击者通过 crontab 任务、systemd 服务/定时器单元、LD_PRELOAD 库注入、shell 配置文件修改（.bashrc、.profile）、SSH authorized_keys 后门以及 init 脚本操纵在 Linux 系统上建立持久化。本技能扫描所有已知的持久化途径，检查文件时间戳和完整性，并将发现与 auditd 日志关联，以构建持久化安装的时间线。

何时使用

  • 在调查需要分析 Linux 持久化机制的安全事件时
  • 在为该领域构建检测规则或威胁狩猎查询时
  • 当 SOC 分析师需要针对此类分析的结构化流程时
  • 在验证相关攻击技术的安全监控覆盖范围时

前提条件

  • 目标 Linux 系统上的 root 或 sudo 访问权限（或取证镜像）
  • auditd 已配置针对持久化路径的文件监控规则
  • Python 3.8+ 及标准库（os、subprocess、json）
  • 可选：OSSEC/Wazuh Agent，用于文件完整性监控告警

步骤

  1. 扫描 Crontab 条目 — 枚举所有用户 crontab、/etc/cron.d/、/etc/cron.daily/ 和 anacron 任务，查找可疑命令
  2. 审计 Systemd 单元 — 检查 /etc/systemd/system/ 和 ~/.config/systemd/user/ 中不受软件包管理的服务和定时器单元
  3. 检测 LD_PRELOAD 劫持 — 检查 /etc/ld.so.preload 和 LD_PRELOAD 环境变量中是否注入共享库
  4. 检查 Shell 配置文件 — 扫描 .bashrc、.bash_profile、.profile、/etc/profile.d/ 中是否注入命令或反弹 shell
  5. 检查 SSH 授权密钥 — 审计所有 authorized_keys 文件，查找带有命令限制的未授权公钥
  6. 关联 Auditd 日志 — 在 auditd 日志中搜索持久化路径上的文件修改事件，构建安装时间线
  7. 生成持久化报告 — 生成所有发现的持久化机制的风险评分报告

预期输出

  • 所有发现的持久化机制的 JSON 报告及风险评分
  • 来自 auditd 关联的持久化安装时间线
  • MITRE ATT&CK 技术映射（T1053、T1543、T1574、T1546）
  • 针对每种检测到的持久化机制的修复命令

评论

支持 Markdown