T1134: 访问令牌操纵

摘要

攻击者可能修改访问令牌，以在不同的用户或系统安全上下文中操作，从而执行操作并绕过访问控制。Windows 使用访问令牌来确定正在运行的进程的所有权。用户可以操纵访问令牌，使正在运行的进程看起来像是另一个进程的子进程，或者属于启动该进程的用户之外的其他用户。发生这种情况时，该进程也会采用与新令牌相关的安全上下文。 攻击者可以使用内置的 Windows API 函数从现有进程复制访问令牌；这被称为令牌窃取(token stealing)。随后，这些令牌可以应用于现有进程(即 [Token Impersonation/Theft](https://attack.mitre.org/techniques/T1134/001))，或用于生成新进程(即 [Create Process with Token](https://attack.mitre.org/techniques/T1134/002))。攻击者必须已经处于特权用户上下文(即管理员)中才能窃取令牌。然而，攻击者通常使用令牌窃取将其安全上下文从管理员级别提升到 SYSTEM 级别。如果该账户在远程系统上具有适当的权限，攻击者随后就可以使用令牌以该令牌对应的账户身份向远程系统进行认证。(Citation: Pentestlab Token Manipulation) 任何标准用户都可以使用 <code>runas</code> 命令和 Windows API 函数创建模拟令牌；这不需要访问管理员账户。还有其他机制(如 Active Directory 字段)可用于修改访问令牌。