T1689: 降级攻击

摘要

攻击者可能降级或使用可能已过时、存在漏洞和/或不支持更新的安全控制的系统功能版本。降级攻击通常利用系统的向后兼容性，迫使其进入安全性较低的操作模式。 攻击者可能降级并使用系统功能的各种安全性较低的版本，例如[命令和脚本解释器](https://attack.mitre.org/techniques/T1059)，甚至可被滥用而实现[对抗中间人](https://attack.mitre.org/techniques/T1557)或[网络嗅探](https://attack.mitre.org/techniques/T1040)的网络协议。(Citation: Praetorian TLS Downgrade Attack 2014) 例如，[PowerShell](https://attack.mitre.org/techniques/T1059/001) 5+ 版本包含脚本块日志记录（SBL），它可以记录已执行脚本的内容。然而，攻击者可能尝试执行不支持 SBL 的旧版本 PowerShell，意图在损害防御的同时运行原本可能被检测到的恶意脚本。(Citation: CrowdStrike downgrade attack)(Citation: Google Cloud downgrade attack)(Citation: att_def_ps_logging) 攻击者同样可能针对网络流量，将其从加密的 HTTPS 连接降级为以明文暴露网络数据的未加密 HTTP 连接。(Citation: Targeted SSL Stripping Attacks Are Real)(Citation: CrowdStrike Downgrade attack 2) 在 Windows 系统上，攻击者可能将引导管理器降级到可绕过安全启动的易受攻击版本，从而获得禁用各种操作系统安全机制的能力。(Citation: SafeBreach)