T1222.001: Windows 权限

摘要

攻击者可能修改文件或目录权限/属性，以规避访问控制列表 (ACL) 并访问受保护的文件。(Citation: Hybrid Analysis Icacls1 June 2018)(Citation: Hybrid Analysis Icacls2 May 2018) 文件和目录权限通常由文件或目录所有者或具有适当权限的用户配置的 ACL 管理。文件和目录 ACL 的实现因平台而异，但通常明确指定哪些用户或组可以执行哪些操作（读、写、执行等）。 Windows 将文件和目录 ACL 实现为自由访问控制列表 (DACL)。(Citation: Microsoft DACL May 2018) 与标准 ACL 类似，DACL 标识允许或拒绝访问安全对象的账户。当尝试访问安全对象时，系统按顺序检查 DACL 中的访问控制项。如果找到匹配项，则授予对该对象的访问权限。否则，拒绝访问。(Citation: Microsoft Access Control Lists May 2018) 攻击者可以使用内置 Windows 命令（如 `icacls`、`cacls`、`takeown` 和 `attrib`）与 DACL 交互，这些命令可以为攻击者授予对特定文件和文件夹的更高权限。此外，[PowerShell](https://attack.mitre.org/techniques/T1059/001) 提供了可用于检索或修改文件和目录 DACL 的 cmdlet。特定的文件和目录修改可能是许多技术的必要步骤，例如通过[辅助功能](https://attack.mitre.org/techniques/T1546/008)、[启动或登录初始化脚本](https://attack.mitre.org/techniques/T1037)建立持久化，或通过[劫持执行流](https://attack.mitre.org/techniques/T1574)污染/劫持其他关键二进制文件/配置文件。