用途：在 Linux 主机或磁盘镜像的取证与事件响应中，系统化识别攻击者维持访问的持久化机制。资料强调持久化位置分散，需按常见到罕见的顺序逐项排查，避免遗漏。
主要能力：覆盖 systemd 单元与生成器、cron/at 任务、shell 初始化文件、SSH 授权密钥与 PAM、内核模块与 eBPF、包管理器钩子、LD_PRELOAD 与库注入、udev 规则与 D-Bus 激活、容器与 Kubernetes、XDG 自启动等路径；提供枚举命令、可疑特征（如 ExecStart 指向 /tmp、非包管理的模块、command= 反向 shell）以及时间线与包归属核对方法。
使用方式：按资料给出的命令逐段执行，例如 systemctl list-unit-files --state=enabled、find / -name authorized_keys、bpftool prog list、dpkg -S 或 rpm -qf 检查文件归属，并结合 /var/log/auth.log、journalctl 等日志做时间线关联。
适用场景：已确认或疑似被入侵的 Linux 主机、磁盘镜像或实时系统，用于查找后门、未授权服务、异常计划任务，并验证清除是否彻底。
限制：不适用于完整事件响应、攻击性持久化、提权、Windows 主机、纯磁盘镜像分析或恶意样本分析；资料未提供具体工具版本、平台兼容性细节或自动化脚本，部分命令依赖发行版与权限。