T1134.005: SID 历史注入

摘要

攻击者可能使用 SID 历史注入来提升权限并绕过访问控制。Windows 安全标识符(SID)是标识用户或组账户的唯一值。Windows 安全在安全描述符和访问令牌中都使用 SID。(Citation: Microsoft SID)账户可以在 SID-History Active Directory 属性中保存额外的 SID(Citation: Microsoft SID-History Attribute)，从而允许在域之间进行可互操作的账户迁移(例如，SID-History 中的所有值都包含在访问令牌中)。 在拥有域管理员(或同等)权限的情况下，可以将收集到的或众所周知的 SID 值(Citation: Microsoft Well Known SIDs Jun 2017)插入到 SID-History 中，以模拟任意用户/组，例如 Enterprise Administrators。这种操纵可能导致对本地资源的提升访问，和/或通过 [Remote Services](https://attack.mitre.org/techniques/T1021)、[SMB/Windows Admin Shares](https://attack.mitre.org/techniques/T1021/002) 或 [Windows Remote Management](https://attack.mitre.org/techniques/T1021/006) 等横向移动技术访问原本无法访问的域。