T1021.002: SMB/Windows 管理共享

摘要

攻击者可能使用[有效账户](https://attack.mitre.org/techniques/T1078)通过服务器消息块（SMB）与远程网络共享交互。随后攻击者可以以已登录用户的身份执行操作。 SMB 是一种用于同一网络或域中 Windows 机器的文件、打印机和串口共享协议。攻击者可能使用 SMB 与文件共享交互，从而在整个网络中横向移动。SMB 的 Linux 和 macOS 实现通常使用 Samba。 Windows 系统具有仅管理员可访问的隐藏网络共享，并提供远程文件复制和其他管理功能。示例网络共享包括 `C$`、`ADMIN$` 和 `IPC$`。攻击者可能将此项技术与管理员级别的[有效账户](https://attack.mitre.org/techniques/T1078)结合使用，通过 SMB 远程访问联网系统，(Citation: Wikipedia Server Message Block) 使用远程过程调用（RPC）与系统交互，(Citation: TechNet RPC) 传输文件，并通过远程执行运行传输的二进制文件。依赖 SMB/RPC 上经过身份验证的会话的示例执行技术包括[计划任务/作业](https://attack.mitre.org/techniques/T1053)、[服务执行](https://attack.mitre.org/techniques/T1569/002)和 [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047)。攻击者还可以使用 NTLM 哈希，在具有[传递哈希](https://attack.mitre.org/techniques/T1550/002)以及特定配置和补丁级别的系统上访问管理员共享。(Citation: Microsoft Admin Shares)