Wpisy startowe

Niektóre programy są skonfigurowane tak, aby uruchamiać się po ponownym uruchomieniu komputera. Atakujący może to wykorzystać, aby ponownie uruchomić niepożądany program. To jedna z form utrzymania obecności: sposobu na pozostanie na komputerze po pierwszym włamaniu.

Sprawdź wpis startowy na komputerze ćwiczeniowym:

seclab inspect startups demo-start

Powinien pojawić się następujący wynik:

demo-start:
  Process: demo-helper
  Location: /etc/lumen/startup/demo-start
  Enabled: yes

Wpis wskazuje demo-helper i informuje, że jest włączony (Enabled: yes). Wyłącz ten wpis:

seclab startup demo-start disable

Powinien pojawić się następujący wynik:

demo-start: disabled. Running processes are unchanged.

Sprawdź ponownie:

seclab inspect startups demo-start

Znajdź te wiersze:

demo-start:
  Enabled: no

Wpis jest wyłączony, ale działający proces pozostaje bez zmian. Podczas porządkowania trzeba zająć się zarówno programem, który działa teraz, jak i ustawieniem, które może go ponownie uruchomić. Pozostaw włączone wpisy startowe zatwierdzone do użytku.