T1134.002: 使用令牌创建进程

摘要

攻击者可能使用现有令牌创建新进程，以提升权限并绕过访问控制。可以使用诸如 <code>CreateProcessWithTokenW</code> 和 <code>runas</code> 之类的功能，以另一个用户的令牌和由此产生的安全上下文创建进程。(Citation: Microsoft RunAs) 使用与当前用户不关联的令牌创建进程可能需要目标用户的凭证、模拟该用户所需的特定权限，或对要使用的令牌的访问权限。例如，令牌可以通过 [Token Impersonation/Theft](https://attack.mitre.org/techniques/T1134/001) 复制，或通过 [Make and Impersonate Token](https://attack.mitre.org/techniques/T1134/003) 创建，然后用于创建进程。 虽然此技术有别于 [Token Impersonation/Theft](https://attack.mitre.org/techniques/T1134/001)，但这些技术可以结合使用，即先复制令牌，然后用于创建新进程。