T1563.001: SSH 劫持

摘要

攻击者可能劫持合法用户的 SSH 会话，以在环境中横向移动。Secure Shell（SSH）是 Linux 和 macOS 系统上标准的远程访问方式。它允许用户通过加密隧道连接到另一台系统，通常通过密码、证书或使用非对称加密密钥对进行身份验证。 为了从已攻陷的主机横向移动，攻击者可能利用通过公钥身份验证与活动 SSH 会话中的其他系统建立的信任关系，劫持与另一系统的现有连接。这可能是通过攻陷 SSH agent 本身，或拥有对 agent socket 的访问权限来实现的。如果攻击者能够获得 root 访问权限，那么劫持 SSH 会话可能是轻而易举的。(Citation: Slideshare Abusing SSH)(Citation: SSHjack Blackhat)(Citation: Clockwork SSH Agent Hijacking)(Citation: Breach Post-mortem SSH Hijack) [SSH 劫持](https://attack.mitre.org/techniques/T1563/001)不同于使用 [SSH](https://attack.mitre.org/techniques/T1021/004)，因为它劫持的是已有 SSH 会话，而不是使用[有效账户](https://attack.mitre.org/techniques/T1078)创建新会话。