T1592.002: 软件

摘要

攻击者可能收集可用于定位阶段的受害者主机软件信息。关于已安装软件的信息可能包含各种细节，例如特定主机上的类型和版本，以及可能表明存在额外防御保护的其他组件（例如：防病毒软件、SIEM 等）。 攻击者可能以各种方式收集此类信息，例如通过[主动扫描](https://attack.mitre.org/techniques/T1595)（例如：监听端口、服务器横幅、用户代理字符串）或[信息网络钓鱼](https://attack.mitre.org/techniques/T1598)直接收集。攻击者还可能攻陷网站，然后植入旨在从访问者处收集主机信息的恶意内容。(Citation: ATT ScanBox) 关于已安装软件的信息也可能通过在线或其他可访问的数据集暴露给攻击者（例如：招聘信息、网络拓扑图、评估报告、简历或采购发票）。此外，攻击者可能分析受害者拥有文件的元数据（例如：托管在受害者拥有网站上的 PDF、DOC、图像和声音文件），以提取有关用于创建或处理这些文件的软件和硬件的信息。元数据可能泄露软件版本、配置或时间戳，从而表明软件已过时或存在漏洞。这些信息可与已知 CVE 交叉比对，以识别未来行动中可能的利用途径。(Citation: Outpost24) 收集这些信息可能为其他形式的侦察（例如：[搜索开放网站/域名](https://attack.mitre.org/techniques/T1593)或[搜索开放技术数据库](https://attack.mitre.org/techniques/T1596)）、建立运营资源（例如：[开发能力](https://attack.mitre.org/techniques/T1587)或[获取能力](https://attack.mitre.org/techniques/T1588)）和/或初始访问（例如：[供应链攻陷](https://attack.mitre.org/techniques/T1195)或[外部远程服务](https://attack.mitre.org/techniques/T1133)）揭示机会。