T1546.018: Python 启动钩子

摘要

攻击者可能利用 Python 的启动机制实现持久化，包括路径配置文件（`.pth`）以及 `sitecustomize.py` 或 `usercustomize.py` 模块。这些文件在 Python 解释器初始化期间被自动处理，允许每当 Python 被调用时执行任意代码。(Citation: Volexity GlobalProtect CVE 2024) 路径配置文件旨在通过使用 import 语句扩展 Python 的模块搜索路径。如果 `.pth` 文件被放置在 Python 的 `site-packages` 或 `dist-packages` 目录中，任何以 `import` 开头的行都将在 Python 调用时自动执行。(Citation: DFIR Python Persistence 2025) 同样，如果 `sitecustomize.py` 或 `usercustomize.py` 存在于 Python 路径中，这些文件将在解释器启动期间被导入，它们包含的任何代码都将被执行。(Citation: Python Site Configuration Hook) 攻击者可能滥用这些机制，在广泛使用 Python 的系统上（例如在生产环境中用于自动化或脚本）建立持久化。