T1127.001: MSBuild

摘要

攻击者可能使用 MSBuild 通过受信任的 Windows 实用程序代理执行代码。MSBuild.exe(Microsoft Build Engine)是 Visual Studio 使用的软件构建平台。它处理 XML 格式的项目文件，这些文件定义了加载和构建各种平台和配置的要求。(Citation: MSDN MSBuild) 攻击者可以滥用 MSBuild 来代理执行恶意代码。MSBuild 的内联任务(inline task)功能在 .NET 4 版本中引入，允许将 C# 或 Visual Basic 代码插入 XML 项目文件。(Citation: MSDN MSBuild)(Citation: Microsoft MSBuild Inline Tasks 2017)MSBuild 将编译并执行内联任务。MSBuild.exe 是一个已签名的 Microsoft 二进制文件，因此以这种方式使用时，它可以执行任意代码并绕过配置为允许 MSBuild.exe 执行的应用程序控制防御。(Citation: LOLBAS Msbuild)