永続化ハント② 起動時フックと鍵
Pro会員限定上級約50分8レッスン
シェルの初期化ファイル・profile.d・ld.so.preload・SSH の authorized_keys という、ログインや実行のたびに効く永続化を洗い出し、正規の設定を残して取り除きます。自動実行に続く、取りこぼしやすい経路を押さえます。
対象者: cron・systemd は見たが、ログイン時フックや鍵の仕込みまで手が回っていない方
前提知識: 永続化ハント① 修了程度
この教材を終えると、できるようになること
- 利用者の .bashrc に追記された、外部通信する行を特定できるようになる。
- /etc/profile.d に置かれた不審なスクリプトを特定できるようになる。
- authorized_keys に追加された攻撃者の鍵を特定できるようになる。
- /etc/ld.so.preload に登録された不審な共有ライブラリを特定できるようになる。
- 複数の永続化ファイルを横断して同じ攻撃者IPを確認し、関連づけられるようになる。
- authorized_keys から不審な鍵の行だけを取り除き、ファイルの所有者と権限を保てるようになる。
…ほか 1 項目（レッスン一覧をご覧ください）
修了後の姿: 攻撃を痕跡から理解し、検知・防御・ハードニングを設計して、インシデントを根本原因から再発防止まで導けるセキュリティエンジニアへ。
Chapter 1起動時フックと鍵を洗い出す
ログイン・実行のたびに効く永続化を、ファイルを一つずつ確認して特定し、取り除きます。
- シェルの初期化ファイルを調べるログインのたびに走る .bashrc の追記を見つける約6分（有料会員限定）
- profile.d の仕込みを探す全ユーザーのログインで効く置き場所を確認する約6分（有料会員限定）
- authorized_keys を点検する見覚えのない公開鍵が登録されていないか約6分（有料会員限定）
- ld.so.preload を確認する全プロセスに注入されるライブラリの仕込み約6分（有料会員限定）
- 痕跡を1本の線でつなぐ同じIPが複数の永続化に出てくることを確認する約6分（有料会員限定）
- 攻撃者の鍵だけを外すauthorized_keys から root@kali の行だけを削除し、権限を保つ約7分（有料会員限定）
- 起動時フックを取り除く.bashrc の追記・profile.d・ld.so.preload の仕掛けを、正規の設定を残して除去する約8分（有料会員限定）
- 確認クイズ: 起動時フックと鍵ログイン・実行のたびに効く永続化を見分けて取り除く約5分（有料会員限定）