Wer unter Windows sehen will, was beim Start ablaeuft, landet fast immer bei Autoruns. Am 5. November hat Microsoft das Werkzeug nach Linux gebracht, und die Versionsnummer fing neu an: aus 14.x wurde 1.0.

Unter Linux lagen die Startpunkte noch nie an einer Stelle

Windows verteilt Autostart auf die Registrierungsdatenbank und ein paar feste Ordner, doch ein einziges Werkzeug kommt in einem Durchlauf durch alles hindurch. Linux funktioniert anders. Dienste laufen ueber systemd, aeltere Rechner schleppen noch SysV Skripte mit, geplante Arbeit liegt in cron und anacron, grafische Sitzungen lesen das Autostart Verzeichnis von XDG, eine Login Shell zieht Dateien wie .profile nach, und obendrauf kommen Browsererweiterungen, udev Regeln und die Mount Optionen in fstab. Keine einzelne Komponente kennt das Ganze. Die Frage, was beim Start wirklich laeuft, hiess deshalb frueher: eine Stelle nach der anderen durchgehen.

Das Verstreute landet in einer Tabelle

Autoruns for Linux ist ein Kommandozeilenwerkzeug, in Rust geschrieben und unter der MIT Lizenz veroeffentlicht. Es liest die Konfiguration hinter all diesen Stellen aus und stellt sie Zeile fuer Zeile dar: Ereignis, Ausloeser, Ziel, Urheber, wirksamer Zustand und die Herkunft des Belegs. Abgedeckt sind die Autostart Eintraege von XDG samt systemweiten und benutzereigenen Shell Startdateien, die System- und Benutzerdienste von systemd mit Timern, Sockets, Pfaden, Geraeten, Mounts und Automounts, einschliesslich Prioritaet, mask, drop-in, Abhaengigkeiten, Vorlageninstanzen und Bedingungen je Phase, dazu cron, anacron und run-parts Auftraege auf beiden Ebenen, modules-load Konfiguration, boot und SysV Haken, die preload Liste und der Suchpfad des dynamischen Laders, alternatives sowie die unterstuetzten Netzwerk Hakenverzeichnisse.

Browser bekommen eine eigene Behandlung. Erweiterungen der Chromium Familie und von Firefox werden ueber Installationen, Benutzer und Profile hinweg aufgelistet, samt Unternehmensrichtlinie, externer Registrierung, dauerhaft laufenden load-extension Startern und Hosts fuer native Nachrichten. Bei Geraeten und Medien kommen ausfuehrbare udev Aktionen und Units dazu, die x-systemd Beziehungen aus fstab, autofs Programmmaps und die autorun Prioritaet auf eingehaengten Medien. Auch die Office Suiten fehlen nicht: Erweiterungspakete von LibreOffice und OpenOffice, UNO Komponenten sowie deren Ereignis- und Aufgabenkonfiguration tauchen auf.

Ohne Argument nur Login Eintraege

Ein Aufruf ohne Argumente entspricht der Abfrage der Login Starteintraege und haelt sich damit an das Standardverhalten der Windows Fassung. Wer alle umgesetzten Linux Kategorien in einem Lauf sehen will, haengt -a und einen Platzhalter an. Einzeln geht es ueber b, h, i, k, l, n, o, s und t, also boot Haken, Image Hijacks und preload, Browserintegration, dynamischer Lader, Login Eintraege, Netzwerk Haken, Anwendungsintegration, Dienste und Module sowie geplante Auftraege. Fuer Geraete und Mounts gibt es eigene benannte Selektoren: device, mount oder device-mount.

Fuenf Ausgabeformate stehen bereit: CSV, TSV, JSON, XML und eine ausgerichtete Tabelle, alle mit denselben Feldern. Die ersten 12 Spalten sind maschinenlesbar, danach folgen Ereignis, Mechanismus, Urheber, Profil, Ausloeser, Ziel und ein Hinweis zur Vollstaendigkeit, dann Zielzustand, Existenz des Ziels und Ausfuehrbarkeit. Ziele mit absolutem Pfad werden innerhalb des gewaehlten Wurzelverzeichnisses geprueft und als vorhanden, fehlend oder nicht erreichbar gemeldet, relative Befehle gelten als unaufgeloest. Ein Detail lohnt den Blick: Registrierungszustand und Zielzustand werden getrennt gefuehrt, ein aktiver Eintrag ohne Datei bleibt also aktiv und wird gleichzeitig als fehlendes Ziel markiert.

Es liest, es greift nicht ein

Schwerfaelligkeit ist der Fehler, der solche Werkzeuge unbrauchbar macht. Autoruns for Linux beschraenkt sich auf statische Dateipruefung: gefundene Befehle werden nicht ausgefuehrt, Units nicht gestartet, Geraetereignisse nicht erzeugt, Medien nicht eingehaengt und Erweiterungen nicht geladen. Textquellen sowie XPI und OXT Metadaten werden mit Obergrenzen fuer Dateigroesse, Anzahl der Mitglieder, Groesse eines Mitglieds und gesamte entpackte Menge gelesen, die Metadaten der Zieldateien werden nur betrachtet. Der Dienstzustand zur Laufzeit wird gar nicht abgefragt, unter einer Offline Wurzel waere das auch nicht moeglich, und die Ausgabe sagt das offen.

Ein fremdes System laesst sich ohne Booten pruefen

Das Argument root richtet den Lauf auf ein anderes Wurzelverzeichnis, womit Testumgebungen, bereits eingehaengte Systeme, Container und Offline Images nutzbar werden. Dieser Pfad wird vor dem Lauf geprueft und normalisiert, unter Linux ueber openat2 mit RESOLVE_IN_ROOT und RESOLVE_NO_MAGICLINKS. Fehlt diese Einrichtung im Kernel, erscheint eine Diagnose zum teilweisen Lauf, und ein eingehaengtes Image muss waehrend des Rueckfalls nur lesbar bleiben. Auch die Rueckgabewerte sind getrennt: 0 steht fuer abgeschlossene statische Adapter, 1 fuer einen Ausgabefehler, 2 fuer ein falsches Argument oder Wurzelverzeichnis und 3 fuer teilweise Ergebnisse.

Was ausserhalb des Bereichs liegt

Die Vertrauensoptionen und die VirusTotal Abfrage der Windows Fassung haben hier kein Gegenstueck. Statt das vorzutaeuschen, lehnt das Werkzeug sie mit Rueckgabewert 2 ab. Kategorien, die es nur unter Windows gibt, und Teile, die statische Adapter nicht erreichen, erzeugen eine ausdrueckliche Zeile unsupported-scope statt in eine plausibel wirkende Kategorie gepresst zu werden. Der Selektor d behaelt seine kompatible Bedeutung aus der Windows Fassung und wird nicht still auf Geraete umgebogen.

Zu sagen, dass etwas nicht geht, wiegt bei einem Diagnosewerkzeug schwerer als ein paar Kategorien mehr, denn der haeufigste Fehlschluss bei der Startanalyse ist, das Nichtgefundene fuer das Nichtvorhandene zu halten.

Wer es braucht

Am direktesten der Betrieb: Wenn ein Rechner immer langsamer startet oder ein Verdacht auf heimliche Dauerlaeufer besteht, ist eine Liste, die systemd, cron, Desktop Autostart und Browsererweiterungen nebeneinander stellt, schneller als jeder Gang durch die Ordner. Sicherheit und Forensik passen ebenfalls, weil das Argument root direkt auf ein eingehaengtes Image oder ein Container Wurzeldateisystem zeigen kann, ohne das System erst hochzufahren. Wer eine Distribution zuschneidet oder ein Image abspeckt, kann es als Basislinie nehmen und sehen, wie viel im eigenen Abbild von Haus aus mitstartet.

Fuenfzehn Jahre Windows Abdeckung uebertragen sich nicht auf Linux, die Mechanismen waren nie dieselben. Der Gedanke, Autostart an einer Stelle zu sehen, uebertraegt sich schon, und die Breite dieser 1.0 spricht dafuer, dass Microsoft mehr als eine nachlaessige Portierung abgeliefert hat.

Was Autoruns unter Linux wert ist, haengt weniger daran, wie viele Startpunkte es kennt, als daran, dass es nur liest und die Stellen benennt, an denen es nicht sicher sein kann. Ein Diagnosewerkzeug gewinnt Vertrauen ueber die Grenzen, die es zugibt.