T1652: 设备驱动程序发现

摘要

攻击者可能尝试枚举受害者主机上的本地设备驱动程序。有关设备驱动程序的信息可能突出各种有助于塑造后续行为的洞察，例如主机的功能/用途、存在的安全工具（即[安全软件发现](https://attack.mitre.org/techniques/T1518/001)）或其他防御（例如：[虚拟化/沙箱规避](https://attack.mitre.org/techniques/T1497)），以及潜在可利用的漏洞（例如：[利用以提升权限](https://attack.mitre.org/techniques/T1068)）。 许多操作系统实用程序可能提供有关本地设备驱动程序的信息，例如 Windows 上的 `driverquery.exe` 和 `EnumDeviceDrivers()` API 函数。(Citation: Microsoft Driverquery)(Citation: Microsoft EnumDeviceDrivers) 有关设备驱动程序（以及相关联的服务，即[系统服务发现](https://attack.mitre.org/techniques/T1007)）的信息也可能在注册表中获取。(Citation: Microsoft Registry Drivers) 在 Linux/macOS 上，设备驱动程序（以内核模块的形式）可能在 `/dev` 中可见，或使用 `lsmod` 和 `modinfo` 等实用程序查看。(Citation: Linux Kernel Programming)(Citation: lsmod man)(Citation: modinfo man)