T1222.002: Linux 和 Mac 权限

摘要

攻击者可能修改文件或目录权限/属性，以规避访问控制列表 (ACL) 并访问受保护的文件。(Citation: Hybrid Analysis Icacls1 June 2018)(Citation: Hybrid Analysis Icacls2 May 2018) 文件和目录权限通常由文件或目录所有者或具有适当权限的用户配置的 ACL 管理。文件和目录 ACL 的实现因平台而异，但通常明确指定哪些用户或组可以执行哪些操作（读、写、执行等）。 大多数 Linux 和基于 Linux 的平台提供一组标准权限组（user、group 和 other）以及一组应用于每个组的标准权限（read、write 和 execute）。虽然各平台权限实现的细微差别可能不同，但大多数平台提供两个用于操纵文件和目录 ACL 的主要命令：<code>chown</code>（change owner 的缩写）和 <code>chmod</code>（change mode 的缩写）。 攻击者可能使用这些命令使自己成为文件和目录的所有者，或在当前权限允许时更改模式。他们随后可能将其他人锁定在文件之外。特定的文件和目录修改可能是许多技术的必要步骤，例如通过 [Unix Shell 配置修改](https://attack.mitre.org/techniques/T1546/004)建立持久化，或通过[劫持执行流](https://attack.mitre.org/techniques/T1574)污染/劫持其他关键二进制文件/配置文件。(Citation: 20 macOS Common Tools and Techniques)