首页/安全/应急响应速查/桌面自启 XDG autostart 排查

桌面自启 XDG autostart 排查

图形桌面登录后,桌面环境会执行 ~/.config/autostart 与 /etc/xdg/autostart 里的 .desktop 项;攻击者写入一项即可在管理员登录桌面时拉起后门。

应急响应速查安全更新于 2026-10-12
用户级~/.config/autostart/*.desktop
系统级/etc/xdg/autostart/*.desktop
关键字段Exec 启动命令;Hidden=true 表示禁用
触发时机图形会话登录后执行,纯 SSH 会话不触发

列出并检查 Exec 行

列出并检查 Exec 行
ls -la --time-style=long-iso ~/.config/autostart /etc/xdg/autostart 2>/dev/null
grep -rH '^Exec=' /etc/xdg/autostart ~/.config/autostart 2>/dev/null
find /home /root -maxdepth 4 -path '*/.config/autostart/*.desktop' -mtime -30 2>/dev/null
服务器通常无桌面环境,autostart 目录本应为空或只有极少数发行版项;出现指向 /tmp、/dev/shm 的 Exec 基本可判异常。

易错点

  • 只看 /etc 漏掉各用户主目录:~/.config/autostart 是账号维度的
  • 把发行版自带项当恶意:先看 Exec 指向的二进制属于哪个包

数据来源与参考

  • freedesktop.org Desktop Application Autostart Specification
  • MITRE ATT&CK T1547.013 XDG Autostart Entry

相关工具

​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌