* 起点：已取得 Linux root * 关键步：SSH 授权公钥、crontab 定时项、systemd 单元三类原生位置（只讲机制与审计） * 终点：权限长期可控 * 最终定级：高危（持久化结果依附于已取得 root）。未取得 root 不成立 > 限定：本节只讲系统原生机制被用于长期驻留的原理与审计点，不写隐藏账号、免杀、文件伪装或对抗 EDR 的手段。 ### 一、业务背景 root 取得后，攻击者可利用系统本身就提供的公钥授权、定时任务、服务单元三类原生位置实现重启后仍可控。这些机制本身合法，风险在于被未授权写入。本节目的是让防守方识别这些位置并审计，不教驻留实现细节。 ### 二、系统拓扑 * SSH 授权文件：存放允许登录的公钥。 * crontab：定时任务表。 * systemd 单元：开机自启服务定义。 * 信任边界：这些位置只应被管理员按变更流程写入。 ### 三、角色与账号 * root：可写上述位置的身份。 ### 四、攻击起点 已取得 root 后，评估三类原生位置中哪些可被用于驻留。 发现顺序： * 检查授权