T1606: 伪造 Web 凭据

摘要

攻击者可能伪造可用于访问 Web 应用程序或互联网服务的凭据材料。Web 应用程序和服务（托管在云 SaaS 环境或本地服务器上）通常使用会话 cookie、令牌或其他材料来对用户访问进行身份验证和授权。 攻击者可能生成这些凭据材料，以获取对 Web 资源的访问权限。这不同于[窃取 Web 会话 Cookie](https://attack.mitre.org/techniques/T1539)、[窃取应用程序访问令牌](https://attack.mitre.org/techniques/T1528)和其他类似行为，因为凭据是新的，由攻击者伪造，而不是从合法用户处窃取或截获。 Web 凭据的生成通常需要秘密值，例如密码、[私钥](https://attack.mitre.org/techniques/T1552/004)或其他加密种子值。(Citation: GitHub AWS-ADFS-Credential-Generator) 攻击者还可能利用某些功能来伪造令牌，例如 AWS 中的 `AssumeRole` 和 `GetFederationToken` API（允许用户请求临时安全凭据，即[临时提升的云访问](https://attack.mitre.org/techniques/T1548/005)），或 Zimbra 中的 `zmprov gdpak` 命令（生成可用于为域中任何用户生成令牌的预身份验证密钥）。(Citation: AWS Temporary Security Credentials)(Citation: Zimbra Preauth) 一旦伪造完成，攻击者可能使用这些 Web 凭据访问资源（例如：[使用备用身份验证材料](https://attack.mitre.org/techniques/T1550)），这可能绕过多因素和其他身份验证保护机制。(Citation: Pass The Cookie)(Citation: Unit 42 Mac Crypto Cookies January 2019)(Citation: Microsoft SolarWinds Customer Guidance)