~ / blog / dfir
DFIR

Más escondites de persistencia

Además del cron, hay muchos rincones donde esconder el arranque automático.

Revisa los timers de systemd, la versión moderna del cron. Mira los perfiles de shell como profile y bashrc, y también el mensaje del día, el motd, que se ejecuta al entrar.

Revisa los scripts de arranque en rc punto local. Y los servicios de usuario en la carpeta systemd del home.

La persistencia es un juego del gato y el ratón: aprende todos los escondites.

# los comandos

analyst@victim:~# systemctl list-timers --all | headcopiar
update.timer activo
beacon.timer cada 5min <- sospechoso
analyst@victim:~# grep -rIl 'bash -i\|/dev/tcp\|base64 -d' /etc/profile.d/ /etc/update-motd.d/ 2>/dev/nullcopiar
analyst@victim:~# cat /etc/rc.local ~/.config/systemd/user/*.service 2>/dev/nullcopiar
root@cero: ~/newsletter
┌──(root@cero)-[~]
└─# suscribir --envio-semanal
un comando a la semana que te hace más difícil de hackear.
una sola herramienta, explicada en español claro, cada semana. lo mejor de los reels, directo a tu correo.
email =
sin spam. un correo a la semana. te sales cuando quieras.