T1548.002: 绕过用户账户控制

摘要

攻击者可能绕过 UAC 机制以在系统上提升进程权限。Windows 用户账户控制（UAC）允许程序提升其权限（跟踪为从低到高的完整性级别），以在管理员级权限下执行任务，可能通过提示用户确认。对用户的影响范围从在高强制级别下拒绝操作，到如果用户位于本地管理员组并点击提示即可允许用户执行操作，或允许用户输入管理员密码以完成操作。(Citation: TechNet How UAC Works) 如果计算机的 UAC 保护级别设置为除最高级别外的任何级别，某些 Windows 程序可以提升权限或执行某些提升的[组件对象模型](https://attack.mitre.org/techniques/T1559/001)对象，而无需通过 UAC 通知框提示用户。(Citation: TechNet Inside UAC)(Citation: MSDN COM Elevation) 一个例子是使用 [Rundll32](https://attack.mitre.org/techniques/T1218/011) 加载一个特制 DLL，该 DLL 加载一个自动提升的[组件对象模型](https://attack.mitre.org/techniques/T1559/001)对象并在受保护目录中执行文件操作，而这通常需要提升的访问权限。恶意软件也可能被注入受信任进程以在无需提示用户的情况下获得提升的权限。(Citation: Davidson Windows) 已发现许多绕过 UAC 的方法。UACME 的 Github readme 页面包含已发现并实现的广泛方法列表 (Citation: Github UACMe)，但可能不是绕过方法的完整列表。其他绕过方法经常被发现，有些在野外被使用，例如： * <code>eventvwr.exe</code> 可以自动提升并执行指定的二进制文件或脚本。(Citation: enigma0x3 Fileless UAC Bypass)(Citation: Fortinet Fareit) 如果已知具有管理员权限账户的凭据，还可以通过某些横向移动技术实现另一种绕过，因为 UAC 是单个系统的安全机制，在一个系统上运行的进程的权限或完整性在远程系统上是未知的，并默认为高完整性。(Citation: SANS UAC Bypass)