T1559.002: 动态数据交换

摘要

攻击者可能使用 Windows 动态数据交换（DDE）执行任意命令。DDE 是一种客户端-服务器协议，用于应用程序之间的一次性和/或持续进程间通信（IPC）。一旦建立链接，应用程序可以自主交换事务，包括字符串、温数据链接（当数据项更改时的通知）、热数据链接（数据项更改的复制）以及命令执行请求。 对象链接与嵌入（OLE），即文档之间链接数据的能力，最初通过 DDE 实现。尽管已被[组件对象模型](https://attack.mitre.org/techniques/T1559/001)取代，DDE 仍可在 Windows 10 和大多数 Microsoft Office 2016 中通过注册表键启用。(Citation: BleepingComputer DDE Disabled in Word Dec 2017)(Citation: Microsoft ADV170021 Dec 2017)(Citation: Microsoft DDE Advisory Nov 2017) Microsoft Office 文档可以（直接或通过嵌入文件）被注入 DDE 命令，并用于通过[钓鱼](https://attack.mitre.org/techniques/T1566)攻击活动或托管的 Web 内容传递执行，避免使用 Visual Basic for Applications（VBA）宏。(Citation: SensePost PS DDE May 2016)(Citation: Kettle CSV DDE Aug 2014)(Citation: Enigma Reviving DDE Jan 2018)(Citation: SensePost MacroLess DDE Oct 2017) 同样，攻击者可能通过在旨在通过 Windows 电子表格程序打开的 CSV 文件中嵌入 DDE 公式，感染载荷以在受害设备上执行应用程序和/或命令。(Citation: OWASP CSV Injection)(Citation: CSV Excel Macro Injection ) DDE 也可能被在没有直接访问[命令和脚本解释器](https://attack.mitre.org/techniques/T1059)的受感染机器上操作的攻击者利用。DDE 执行可以通过[远程服务](https://attack.mitre.org/techniques/T1021)（如[分布式组件对象模型](https://attack.mitre.org/techniques/T1021/003)（DCOM））远程调用。(Citation: Fireeye Hunting COM June 2019)