Mục khởi động

Một số chương trình được thiết lập để khởi động khi máy tính khởi động lại. Kẻ tấn công có thể lợi dụng điều này để khởi chạy lại một chương trình không mong muốn. Đây là một hình thức duy trì quyền truy cập: cách để tồn tại trên máy tính sau lần xâm nhập đầu tiên.

Kiểm tra mục khởi động trên máy tính luyện tập:

seclab inspect startups demo-start

Bạn sẽ thấy:

demo-start:
  Process: demo-helper
  Location: /etc/lumen/startup/demo-start
  Enabled: yes

Mục này có tên demo-helper và cho biết Enabled: yes. Tắt mục đó:

seclab startup demo-start disable

Bạn sẽ thấy:

demo-start: disabled. Running processes are unchanged.

Kiểm tra lại:

seclab inspect startups demo-start

Tìm các dòng sau:

demo-start:
  Enabled: no

Mục này đã bị tắt, nhưng tiến trình đang chạy vẫn không thay đổi. Để dọn dẹp, bạn cần xử lý cả chương trình hiện đang chạy lẫn cài đặt có thể khởi chạy lại chương trình đó. Hãy giữ cho các mục khởi động phục vụ công việc đã được phê duyệt luôn bật.