T1547.010: 端口监视器

摘要

攻击者可能使用端口监视器在系统引导期间运行攻击者提供的 DLL，以实现持久化或权限提升。可以通过 <code>AddMonitor</code> API 调用设置端口监视器，以设置在启动时加载的 DLL。(Citation: AddMonitor) 此 DLL 可以位于 <code>C:\Windows\System32</code>，并将在引导时由打印后台处理程序服务 `spoolsv.exe` 在 SYSTEM 级权限下加载和运行。(Citation: Bloxham) 或者，如果权限允许将 DLL 的完全限定路径名写入 <code>HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors</code> 现有或新的任意命名子键的 `Driver` 值，则可以加载任意 DLL。该注册表键包含以下项的条目： * Local Port * Standard TCP/IP Port * USB Monitor * WSD Port