Linux 取证135 条

自定义 systemd 服务单元核查

自定义 unit 指向任意可执行文件，是持久化的常见载体；排查 /etc/systemd/system/ 下的新增或近期修改单元及其 ExecStart 目标。

位置	/etc/systemd/system/、~/.config/systemd/user/
字段	ExecStart、Restart、User

核查

ls -lt --time-style=long-iso /etc/systemd/system/ | head -20
systemd-delta --type=overridden | head -20

systemd-delta 展示覆盖与扩展配置，可快速发现被改写的发行版单元。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌