用途：系统化调查 Windows 与 Linux 系统上的各类持久化机制，判断恶意软件如何在重启后继续存活并维持访问。适用于事件响应中定位全部持久化点以完成彻底清除、威胁狩猎中发现未授权自启动项、分析恶意软件持久化策略，以及修复后验证持久化是否已全部移除。
主要能力：覆盖 Windows 注册表持久化（服务、Run/RunOnce 键、NTUSER.DAT 用户键）、计划任务与 WMI 事件订阅、启动文件夹、DLL 搜索顺序劫持、COM 对象劫持、引导配置与 bootkit 检查；Linux 侧覆盖 cron、systemd 服务、SSH authorized_keys、rc.local、profile 脚本、LD_PRELOAD、内核模块与 PAM 后门。最终汇总为持久化调查报告并标记可疑条目。
使用方式：需具备取证镜像或带管理员权限的实时系统访问，配合 Autoruns、RegRipper、YARA 规则及已知良好自启动基线。流程为：挂载镜像后提取注册表 hive 并解析持久化项；解析计划任务 XML 并标记可疑命令；检查 WMI 仓库中的事件订阅；检查文件系统与启动项；对 Linux 系统检查 cron、systemd、SSH 密钥等；最后生成报告。示例命令如 mount -o ro,loop,offset=$((2048*512)) /cases/case-2024-001/images/evidence.dd /mnt/evidence。
限制：资料未提供具体收费、价格、平台支持范围与效果保证；实际使用依赖取证环境与工具可用性，需结合基线比对判断，不能仅凭单一指标定性。