feat: add host-sec-check

skills/host-sec-check/references/persistence.md

@@ -0,0 +1,40 @@
+# 持久化位置
+
+按这个名单扫。出现「刚被排查时时间戳又刷新」= 仍有 watchdog。
+
+## 定时
+
+- `crontab -u root -l` 以及 `/var/spool/cron/crontabs/*`
+- `/etc/cron.d/` `/etc/cron.hourly/` `/etc/cron.daily/` `/etc/cron.weekly/`
+- systemd timers：`systemctl list-timers --all`
+
+## 服务
+
+- `/etc/systemd/system/*.service`（尤其非发行版默认的）
+- `ExecStart` 指向 `/tmp`、`/dev/shm`、`/root/.config`、随机短名
+- `Restart=always` 的陌生服务
+
+## 动态链接器
+
+- `/etc/ld.so.preload`：内容常是 `/lib/libXXX.so`（约十几字节）。宿主机 `cat` 可能显示空，用容器 hexdump
+- 对应 `.so` 可能 `chattr +i`、setgid
+- 常见名：`libgcwrap.so`、`libpprocps.so`、`libfsnldev.so`、`libprocesshider.so`
+
+## 二进制与分身
+
+- `/usr/bin` `/bin` `/usr/local/bin` `/tmp` 下刚改过的可执行文件
+- 同字节大小的多份拷贝（矿机改名）
+- 占位对抗：空文件 `chmod 000` + `chattr +i`（见 cleanup.md）
+
+## 隐藏运行时
+
+- 第二套 dockerd：`--data-root` 不在 `/var/lib/docker`，`--host unix://` 异常路径
+- 混淆文件名（把 docker 子命令拼进无关单词）
+- k3s 的 `containerd-shim` 被借去跑 **moby** namespace + 异常 `--address`
+
+## 登录与启动
+
+- `~/.bashrc` / `/etc/profile.d` 里 curl|bash
+- `/etc/rc.local`
+- SSH `authorized_keys` 多出来的 key
+- 意外用户、UID 0 非 root