T1185: 浏览器会话劫持

摘要

攻击者可能利用浏览器软件中的安全漏洞和固有功能，作为各种浏览器会话劫持技术的一部分来更改内容、修改用户行为并拦截信息。(Citation: Wikipedia Man in the Browser) 一个具体示例是攻击者向浏览器注入软件，使其能够继承用户的 cookie、HTTP 会话和 SSL 客户端证书，然后将浏览器用作转向已认证内网的跳板。(Citation: Cobalt Strike Browser Pivot)(Citation: ICEBRG Chrome Extensions) 执行浏览器内的行为（如转向）可能需要特定的进程权限，例如 <code>SeDebugPrivilege</code> 和/或高完整性/管理员权限。 另一个示例涉及通过设置代理将浏览器流量从攻击者的浏览器经用户的浏览器转向，该代理将重定向 Web 流量。这不会以任何方式更改用户的流量，并且浏览器一关闭即可切断代理连接。攻击者假定其注入代理的浏览器进程的安全上下文。浏览器通常为打开的每个标签页创建新进程，权限和证书也相应分离。拥有这些权限后，攻击者可能能够浏览内网中可通过浏览器访问、且浏览器具有足够权限的任何资源，例如 [Sharepoint](https://attack.mitre.org/techniques/T1213/002) 或 Web 邮件。浏览器转向还可能绕过双因素认证提供的安全性。(Citation: cobaltstrike manual)