T1055.005: 线程本地存储

摘要

攻击者可能通过线程本地存储（TLS）回调将恶意代码注入进程，以规避基于进程的防御，并可能提升权限。TLS 回调注入是一种在另一个活动进程的地址空间中执行任意代码的方法。 TLS 回调注入涉及操纵可移植可执行文件（PE）内部的指针，以在到达代码的合法入口点之前将进程重定向到恶意代码。TLS 回调通常由操作系统用于设置和/或清理线程所使用的数据。操纵 TLS 回调可以通过使用其他 [Process Injection](https://attack.mitre.org/techniques/T1055) 技术（如 [Process Hollowing](https://attack.mitre.org/techniques/T1055/012)）在进程内存空间中的特定偏移处分配并写入来完成。(Citation: FireEye TLS Nov 2017) 在另一个进程的上下文中运行代码可能允许访问该进程的内存、系统/网络资源，并可能获得提升的权限。通过 TLS 回调注入进行的执行也可能规避安全产品的检测，因为执行被掩盖在合法进程之下。