用途：在授权红队演练中建立持久化，使已获得的访问能经受重启、改密与日常维护，在不重新初始入侵的前提下重建会话或重执行载荷。所有技术均假设已在目标上获得代码执行权限，仅限授权场景。
主要能力：Windows 部分包括注册表 Run/RunOnce 及 RunServices、Winlogon 等自启位置；schtasks 与 PowerShell 计划任务（可运行于 SYSTEM、支持 onstart/onlogon/定时）；WMI 事件订阅（过滤器、消费者、绑定三件套，文件型无落地）；DLL 搜索顺序劫持与 HKCU COM 劫持；服务创建/修改；SSP DLL 注册（LSASS 启动时加载，可获取交互登录明文凭据）与内存 SSP；域级技术含 Golden/Silver Ticket、Skeleton Key、AdminSDHolder ACL 滥用、DCShadow 与 SID History 注入，需域管等价权限。Linux 部分包括用户级与系统级 cron、cron.d/hourly 目录、at 任务；systemd 服务与 timer（含 --user）；SSH authorized_keys 注入（含自定义 AuthorizedKeysFile）；.bashrc/.bash_profile 与 /etc/profile 后门；PAM 恶意模块；LD_PRELOAD 预加载与 LKM rootkit。
使用方式：先评估当前权限（普通用户/管理员或 root/域管）、目标系统版本与安全控制，再按访问级别和隐蔽需求选择机制，验证其能经受重启或注销，并记录确切机制与位置以便演练收尾清理；范围允许时在不同权限层叠加多种方法，优先可完全移除的可逆手段。文档给出 reg add、schtasks、Set-WmiInstance、sc、impacket-secretsdump、impacket-ticketer、mimikatz、crontab、systemctl、insmod 等可执行命令与示例代码。
限制与注意：多数域级技术与 SSP、服务、PAM、内核模块需管理员或更高权限；Skeleton Key 不跨重启且改动 DC 的 LSASS；部分技术改动系统关键配置（如 /etc/pam.d、现有服务）配置不当可能导致用户无法登录或服务损坏；注册表 Run 键、任务创建（4698）、WMI（Sysmon 19/20/21）、ImageLoad（事件 7）、SSP 注册（4622）等易被监测，Credential Guard 可阻断 SSP，文件完整性监控可发现 PAM 与模块变更。原文未提供具体版本、价格与平台兼容性信息。