T1606.001: Web Cookies

摘要

攻击者可能伪造可用于访问 Web 应用程序或互联网服务的 Web cookie。Web 应用程序和服务（托管在云 SaaS 环境或本地服务器上）通常使用会话 cookie 来对用户访问进行身份验证和授权。 攻击者可能生成这些 cookie，以获取对 Web 资源的访问权限。这不同于[窃取 Web 会话 Cookie](https://attack.mitre.org/techniques/T1539)和其他类似行为，因为 cookie 是新的，由攻击者伪造，而不是从合法用户处窃取或截获。大多数常见 Web 应用程序具有标准化且有文档记录的 cookie 值，可使用提供的工具或接口生成。(Citation: Pass The Cookie) Web cookie 的生成通常需要秘密值，例如密码、[私钥](https://attack.mitre.org/techniques/T1552/004)或其他加密种子值。 一旦伪造完成，攻击者可能使用这些 Web cookie 访问资源（[Web 会话 Cookie](https://attack.mitre.org/techniques/T1550/004)），这可能绕过多因素和其他身份验证保护机制。(Citation: Volexity SolarWinds)(Citation: Pass The Cookie)(Citation: Unit 42 Mac Crypto Cookies January 2019)