T1036.006: 文件名后加空格

摘要

攻击者可以通过更改文件的扩展名来隐藏程序的真实文件类型。对于某些文件类型（特别是对 .app 扩展名不起作用），在文件名末尾附加一个空格将改变操作系统处理该文件的方式。 例如，如果有一个名为 <code>evil.bin</code> 的 Mach-O 可执行文件，当用户双击它时，它将启动 Terminal.app 并执行。如果将此文件重命名为 <code>evil.txt</code>，那么当用户双击它时，它将使用默认文本编辑应用程序启动（而不执行该二进制文件）。然而，如果将此文件重命名为 <code>evil.txt </code>（注意末尾的空格），那么当用户双击它时，真实文件类型由操作系统确定并得到适当处理，该二进制文件将被执行 (Citation: Mac Backdoors are back)。 攻击者可以利用此特性诱骗用户双击任何格式的看似无害的文件，并最终执行恶意内容。