T1003.007: Proc 文件系统

摘要

攻击者可能从 proc 文件系统或 `/proc` 中收集凭据。proc 文件系统是一种伪文件系统，用于在管理虚拟内存的基于 Linux 的系统中作为访问内核数据结构的接口。对于每个进程，`/proc/<PID>/maps` 文件显示内存如何在进程的虚拟地址空间内映射。而为调试目的公开的 `/proc/<PID>/mem` 提供对进程虚拟地址空间的访问。(Citation: Picus Labs Proc cump 2022)(Citation: baeldung Linux proc map 2022) 以 root 权限执行时，攻击者可以在这些内存位置中搜索系统上所有包含凭据特征模式的进程。攻击者可能使用正则表达式模式，例如 <code>grep -E "^[0-9a-f-]* r" /proc/"$pid"/maps | cut -d' ' -f 1</code>，来查找内存结构或缓存哈希中的固定字符串。(Citation: atomic-red proc file system) 在没有特权访问的情况下运行时，进程仍可以查看自己的虚拟内存位置。某些服务或程序可能会将凭据以明文形式保存在进程内存中。(Citation: MimiPenguin GitHub May 2017)(Citation: Polop Linux PrivEsc Gitbook) 如果以 Web 浏览器身份运行或拥有其权限，进程可以在 `/maps` 和 `/mem` 位置搜索常见的网站凭据模式（也可用于查找同一结构内的相邻内存），哈希或明文凭据可能就位于其中。