持久化 (TA0003)

一句话理解

攻击者在你的系统里“安家“，确保即使你发现了部分入侵痕迹，他们依然能卷土重来。

战术概述

持久化就像小偷在你家装了暗门。 即使你换了门锁（改了密码）、装了监控（装了杀毒软件）、甚至重新装修了房子（重装了系统），小偷依然能通过他留下的暗门随时进来。

在网络安全领域，持久化是指攻击者在获得初始访问权限后，采取各种手段确保自己能够长期、稳定地保持对目标系统的访问。这是攻击链中最关键的环节之一——没有持久化，攻击者可能在一次系统重启或密码修改后就失去所有访问权限。

通俗解释： 持久化就像小偷在偷到钥匙后，趁你不注意配了一把备用钥匙藏在门外花盆底下——这样即使你发现钥匙丢了、换了新锁，他还可以从花盆下取出备用钥匙再次进入。

在攻击中的作用： 持久化是攻击者巩固战果的关键一步。在成功完成初始入侵后，攻击者第一件事就是部署持久化机制。没有持久化，一次系统更新、密码更改或意外重启就可能让攻击者失去所有访问权限，前期所有努力白费。

包含的技术类型：

• 账户类持久化：创建新账户、操纵现有账户、使用有效账户
• 系统机制类持久化：修改注册表、创建计划任务、安装服务
• 启动类持久化：自动启动、登录脚本、预启动（固件级）
• 触发类持久化：事件触发执行、流量信号、Office/浏览器扩展
• 高级持久化：修改认证流程、劫持执行流、篡改软件二进制

战术在攻击链中的位置

攻击链全景图

graph LR
    A["侦察<br/>TA0043"] --> B["资源开发<br/>TA0042"]
    B --> C["初始访问<br/>TA0001"]
    C --> D["执行<br/>TA0002"]
    D --> E["持久化<br/>TA0003"]
    E --> F["权限提升<br/>TA0004"]
    F --> G["隐蔽<br/>TA0005"]
    G --> H["防御削弱<br/>TA0112"]
    H --> I["凭证访问<br/>TA0006"]
    I --> J["发现<br/>TA0007"]
    J --> K["横向移动<br/>TA0008"]
    K --> L["收集<br/>TA0009"]
    L --> M["命令与控制<br/>TA0011"]
    M --> N["数据窃取<br/>TA0010"]
    N --> O["影响<br/>TA0040"]

    style E fill:#ff6b6b,stroke:#333,stroke-width:3px,color:#fff

当前战术的角色

持久化是攻击链中承上启下的关键环节。在成功获取初始访问权限并执行恶意代码后，攻击者必须立即部署持久化机制来巩固战果。持久化做得好，攻击者可以长期潜伏在目标网络中，即使部分后门被清除仍有备用入口。没有持久化的攻击就像一次性工具——用完即废。

前置战术

• 初始访问 (TA0001)：攻击者必须先进入目标系统，才能部署持久化机制
• 执行 (TA0002)：攻击者需要先获得代码执行能力，才能安装后门或修改系统配置

后续战术

• 权限提升 (TA0004)：许多持久化机制需要更高权限才能部署，两者经常配合使用
• 隐蔽 (TA0005)：持久化后门需要隐藏自己，避免被发现和清除
• 凭证访问 (TA0006)：账户类持久化技术常与凭证窃取配合使用

技术索引表

子技术索引

统计信息

• 技术总数：25 个
• 子技术总数：99 个
• 已完成文档：99 个
• 进行中文档：0 个
• 待编写文档：0 个

推荐阅读顺序

入门阶段（第1-2周）

适合零基础的安全爱好者，从最简单、最直观的技术开始。

前置知识： 基本的操作系统概念（什么是用户、什么是进程），会使用命令行

推荐阅读：

1. T1136 创建账户 - 最直观的持久化方式，理解“留后门“的基本思路，适合入门
2. T1078 有效账户 - 理解如何利用现有账户实现无文件持久化，是攻击者最常用的方法
3. T1053 计划任务/作业 - 掌握定时执行的基本机制，跨平台通用

学习建议：

• 在每个技术上花1-2天时间，先在实验环境中动手操作
• 理解核心概念后再进入下一个技术

进阶阶段（第3-4周）

适合有一定基础的学习者，开始接触更复杂的技术。

前置知识： 了解Windows注册表基本结构，了解Linux文件系统，会使用PowerShell/Bash

推荐阅读：

1. T1112 修改注册表 - Windows持久化的基础，理解注册表是核心
2. T1547 启动或登录自动执行 - 注册表持久化的扩展应用，15个子技术覆盖广泛
3. T1543 创建或修改系统进程 - 服务级持久化，理解Windows/Linux/macOS服务机制
4. T1137 Office应用启动 - 利用办公软件的持久化，社会工程学常用

学习建议：

• 每个技术配合《动手实验》部分实际操作
• 尝试使用Atomic Red Team执行自动化测试

高级阶段（第5-6周）

适合有较好技术基础的学习者，深入理解复杂技术原理。

前置知识： 了解DLL加载机制、API调用、云平台基础

推荐阅读：

1. T1546 事件触发执行 - 理解WMI等高级触发机制，无文件持久化的核心
2. T1574 劫持执行流 - DLL劫持和搜索顺序利用，红队必备技能
3. T1554 篡改客户端软件二进制 - 供应链攻击的核心技术（SolarWinds、CCleaner案例）
4. T1671 云应用集成 - 云环境持久化，现代企业必备
5. T1542 预启动 - 固件级持久化，最难以检测和清除的持久化方式
6. T1205 流量信号 - 隐蔽的网络触发机制，高级红队技术

学习建议：

• 深入阅读每个技术的真实案例，理解攻击者的实际操作
• 搭建完整的实验环境（Windows AD + Linux + 云环境）
• 关注2024-2026年最新攻击组织手法（BRICKSTORM、APT28 Neusploit等）

参考资料

官方文档

• MITRE ATT&CK - 持久化
• MITRE ATT&CK Enterprise Matrix
• MITRE ATT&CK Navigator - 持久化层

学习资源

• CISA 持久化技术防御指南 - CISA官方发布的持久化检测和清除指南
• Red Team Field Manual (RTFM) - 持久化章节 - 红队经典参考手册
• Blue Team Handbook - 持久化检测 - 蓝队防御实战指南

相关工具

• Atomic Red Team - 持久化测试用例 - 可执行的安全测试用例库
• Sysinternals Autoruns - 查看所有自动启动位置的权威工具
• MITRE CALDERA - 自动化 adversary emulation 平台