T1574.010: 服务文件权限弱点

摘要

攻击者可能通过劫持服务使用的二进制文件来执行自己的恶意载荷。攻击者可能利用 Windows 服务权限中的缺陷，替换在服务启动时执行的二进制文件。这些服务进程可能作为其功能的一部分或为执行其他操作而自动执行特定的二进制文件。如果包含目标二进制文件的文件系统目录的权限，或二进制文件本身的权限设置不当，那么目标二进制文件可能被另一个使用用户级权限的二进制文件覆写，并由原始进程执行。如果原始进程和线程在更高权限级别下运行，那么被替换的二进制文件也将以更高权限级别执行，这可能包括 SYSTEM。 攻击者可能使用此技术用恶意二进制文件替换合法二进制文件，作为在更高权限级别执行代码的手段。如果执行的进程被设置为在特定时间或特定事件期间（例如系统启动时）运行，那么此技术也可用于持久化。