T1134.001: 令牌模拟/窃取

摘要

攻击者可能复制并模拟另一个用户的现有令牌，以提升权限并绕过访问控制。例如，攻击者可以使用 `DuplicateToken` 或 `DuplicateTokenEx` 复制现有令牌。(Citation: DuplicateToken function)随后，该令牌可以与 `ImpersonateLoggedOnUser` 一起使用，以允许调用线程模拟已登录用户的安全上下文，或与 `SetThreadToken` 一起使用，以将模拟的令牌分配给某个线程。 当攻击者有一个特定的、现有的进程想要将复制的令牌分配给其时，他们可能执行 [Token Impersonation/Theft](https://attack.mitre.org/techniques/T1134/001)。例如，当目标用户在系统上有非网络登录会话时，这可能很有用。 当攻击者改为使用复制的令牌创建新进程而非附加到现有进程时，他们还可以使用 `CreateProcessWithTokenW` 或 `CreateProcessAsUserW` 来 [Create Process with Token](https://attack.mitre.org/techniques/T1134/002)。[Token Impersonation/Theft](https://attack.mitre.org/techniques/T1134/001) 也有别于 [Make and Impersonate Token](https://attack.mitre.org/techniques/T1134/003)，因为它指的是复制现有令牌，而非创建新令牌。