Persistence

analyzing-malware-persistence-with-autoruns 是一个面向恶意软件分析的 Sysinternals Autoruns 技能。它帮助你用可重复的工作流检查 Windows 持久化点，包括 Run 键、服务、计划任务、Winlogon、驱动和 WMI，并结合 CSV 导出、可疑项审查和可直接写进报告的结论，完成分析。

eradicating-malware-from-infected-systems 是一项面向网络安全事件响应的技能，用于在隔离完成后清除恶意软件、后门和持久化机制。它提供工作流程指导、参考文件，以及用于 Windows 和 Linux 清理、凭据轮换、根因修复和验证的脚本。

detecting-wmi-persistence 技能可帮助威胁狩猎和 DFIR 分析师，利用 Windows 遥测中的 Sysmon Event ID 19、20 和 21 发现 WMI 事件订阅持久化。可用来识别恶意的 EventFilter、EventConsumer 和 FilterToConsumerBinding 活动，验证发现，并区分攻击者持久化与正常的管理员自动化。

conducting-pass-the-ticket-attack 是一项用于安全审计和红队的技能，适合规划和记录 Pass-the-Ticket 工作流。它可以帮助你审查 Kerberos 票据、梳理检测信号，并使用 conducting-pass-the-ticket-attack 技能产出结构化的验证或报告流程。

面向经授权的 Active Directory 安全审计工作的 conducting-domain-persistence-with-dcsync 指南。了解安装、使用和工作流说明，借助随附脚本、参考资料和报告模板，评估 DCSync 权限、KRBTGT 暴露、Golden Ticket 风险及修复步骤。