T1068: 用于权限提升的漏洞利用

摘要

攻击者可能利用软件漏洞尝试提升权限。当攻击者利用程序、服务或操作系统软件或内核本身中的编程错误来执行攻击者控制的代码时，就会发生软件漏洞利用。诸如权限级别之类的安全构造通常会阻碍对信息的访问和某些技术的使用，因此攻击者可能需要执行权限提升，包括利用软件漏洞来规避这些限制。 在最初获得对系统的访问权限时，攻击者可能在一个较低权限的进程中运行，这将阻止他们访问系统上的某些资源。可能存在漏洞(通常存在于操作系统组件和通常以更高权限运行的软件中)，可利用这些漏洞在系统上获得更高层次的访问权限。这可能使某人从未特权或用户级权限转移到 SYSTEM 或 root 权限，具体取决于存在漏洞的组件。这也可能使攻击者从虚拟化环境(如虚拟机或容器内)转移到底层主机。对于攻陷已正确配置并限制其他权限提升方法的端点系统的攻击者来说，这可能是一个必要的步骤。 攻击者可能将已签名的易受攻击驱动程序带入受感染机器，以便利用漏洞以内核模式执行代码。此过程有时被称为“自带易受攻击驱动程序”(Bring Your Own Vulnerable Driver, BYOVD)。(Citation: ESET InvisiMole June 2020)(Citation: Unit42 AcidBox June 2020)攻击者可能将易受攻击的驱动程序包含在初始访问期间投递的文件中，或通过 [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105) 或 [Lateral Tool Transfer](https://attack.mitre.org/techniques/T1570) 下载到受感染系统。