T1563: 远程服务会话劫持

摘要

攻击者可能接管与远程服务之间已存在的会话，以在环境中横向移动。用户可能使用有效凭据登录专门用于接受远程连接的服务，例如 telnet、SSH 和 RDP。当用户登录某项服务时，会建立一个会话，使其能够与该服务保持持续交互。 攻击者可能劫持这些会话，以在远程系统上执行操作。[远程服务会话劫持](https://attack.mitre.org/techniques/T1563)不同于使用[远程服务](https://attack.mitre.org/techniques/T1021)，因为它劫持的是已有会话，而不是使用[有效账户](https://attack.mitre.org/techniques/T1078)创建新会话。(Citation: RDP Hijacking Medium)(Citation: Breach Post-mortem SSH Hijack)