T1574.005: 可执行安装程序文件权限弱点

摘要

攻击者可能通过劫持安装程序使用的二进制文件来执行自己的恶意载荷。这些进程可能作为其功能的一部分或为执行其他操作而自动执行特定的二进制文件。如果包含目标二进制文件的文件系统目录的权限，或二进制文件本身的权限设置不当，那么目标二进制文件可能被另一个使用用户级权限的二进制文件覆写，并由原始进程执行。如果原始进程和线程在更高权限级别下运行，那么被替换的二进制文件也将以更高权限级别执行，这可能包括 SYSTEM。 此技术的另一种变体可以利用可执行的自解压安装程序中常见的弱点来实现。在安装过程中，安装程序通常使用 <code>%TEMP%</code> 目录中的子目录来解包 DLL、EXE 或其他载荷等二进制文件。当安装程序创建子目录和文件时，它们往往没有设置适当的权限来限制写访问，这允许执行放置在子目录中的不受信任代码，或覆写安装过程中使用的二进制文件。此行为与 [DLL](https://attack.mitre.org/techniques/T1574/001) 搜索顺序劫持相关，并可能利用它。 攻击者可能使用此技术用恶意二进制文件替换合法二进制文件，作为在更高权限级别执行代码的手段。某些安装程序可能还需要提升的权限，在执行攻击者控制的代码时将导致权限提升。此行为与[绕过用户账户控制](https://attack.mitre.org/techniques/T1548/002)相关。已向软件供应商报告了现有常见安装程序中此弱点的若干示例。(Citation: mozilla_sec_adv_2012) (Citation: Executable Installers are Vulnerable) 如果执行的进程被设置为在特定时间或特定事件期间（例如系统启动时）运行，那么此技术也可用于持久化。