T1110.004: 凭证填充

摘要

攻击者可能使用从无关账户的数据泄露转储中获得的凭证，通过凭证重叠来获得对目标账户的访问。有时，当某个网站或服务被攻陷且用户账户凭证被访问时，大量的用户名和密码对会被泄露到网上。这些信息可能对试图利用用户个人账户和业务账户使用相同密码这一倾向来攻陷账户的攻击者有用。 凭证填充是一个有风险的选择，因为根据组织的登录失败策略，它可能导致大量认证失败和账户锁定。 填充凭证时，通常使用常用端口上的管理服务。常见目标服务包括以下： * SSH (22/TCP) * Telnet (23/TCP) * FTP (21/TCP) * NetBIOS / SMB / Samba (139/TCP & 445/TCP) * LDAP (389/TCP) * Kerberos (88/TCP) * RDP / Terminal Services (3389/TCP) * HTTP/HTTP 管理服务 (80/TCP & 443/TCP) * MSSQL (1433/TCP) * Oracle (1521/TCP) * MySQL (3306/TCP) * VNC (5900/TCP) 除了管理服务之外，攻击者可能"针对使用联合认证协议的单点登录(SSO)和基于云的应用程序"，以及面向外部的电子邮件应用程序(如 Office 365)。(Citation: US-CERT TA18-068A 2018)