T1563.002: RDP 劫持

摘要

攻击者可能劫持合法用户的远程桌面会话，以在环境中横向移动。远程桌面是操作系统中常见的功能。它允许用户登录到与远程系统桌面图形用户界面交互的会话。Microsoft 将其对远程桌面协议（RDP）的实现称为远程桌面服务（RDS）。(Citation: TechNet Remote Desktop Services) 攻击者可能执行 RDP 会话劫持，即窃取合法用户的远程会话。通常，当有人试图窃取用户的会话时，用户会收到通知。借助 System 权限并使用终端服务控制台，`c:\windows\system32\tscon.exe [session number to be stolen]`，攻击者可以在无需凭据或提示用户的情况下劫持会话。(Citation: RDP Hijacking Korznikov) 这可以远程或本地进行，并可针对活动或已断开的会话。(Citation: RDP Hijacking Medium) 它还可能通过窃取域管理员或更高权限账户的会话来导致[远程系统发现](https://attack.mitre.org/techniques/T1018)和权限提升。所有这些都可以通过使用 Windows 原生命令完成，但也已作为红队工具的一项功能被加入。(Citation: Kali Redsnarf)