T1608.004: 路过式目标

摘要

攻击者可能准备一个作战环境，以感染在正常浏览过程中访问某个网站的系统。端点系统可能通过浏览到攻击者控制的站点而被攻陷，如[路过式攻陷](https://attack.mitre.org/techniques/T1189)中所述。在此类情况下，用户的 Web 浏览器通常是利用的目标（通常一旦登陆该站点就不需要任何额外的用户交互），但攻击者也可能搭建网站用于非利用行为，例如[应用程序访问令牌](https://attack.mitre.org/techniques/T1550/001)。在[路过式攻陷](https://attack.mitre.org/techniques/T1189)之前，攻击者必须投放向浏览到攻击者控制站点的用户传递该漏洞利用所需的资源。路过式内容可以投放在已获取（[获取基础设施](https://attack.mitre.org/techniques/T1583)）或先前已被攻陷（[攻陷基础设施](https://attack.mitre.org/techniques/T1584)）的攻击者控制的基础设施上。 攻击者可能将恶意 Web 内容（如 [JavaScript](https://attack.mitre.org/techniques/T1059/007)）上传或注入到网站中。(Citation: FireEye CFR Watering Hole 2012)(Citation: Gallagher 2015) 这可以通过多种方式完成，包括： * 将恶意脚本插入网页或其他用户可控制的 Web 内容（如论坛帖子）中 * 修改从公开可写云存储桶提供给网站的脚本文件 * 制作恶意 Web 广告并通过合法广告提供商在网站上购买广告位（即[恶意广告](https://attack.mitre.org/techniques/T1583/008)） 除了投放用于利用用户 Web 浏览器的内容外，攻击者还可能投放脚本内容以对用户的浏览器进行画像（如[收集受害者主机信息](https://attack.mitre.org/techniques/T1592)中所述），以确保其在尝试利用之前存在漏洞。(Citation: ATT ScanBox) 被攻击者攻陷并用于投放路过式内容的网站可能是特定群体（如政府、某个行业或地区）访问的网站，其目标是根据共同兴趣攻陷特定的用户或一组用户。这种有针对性的活动称为战略性 Web 攻陷或水坑攻击。 攻击者可能在获取基础设施期间（[域名](https://attack.mitre.org/techniques/T1583/001)）购买与合法域名相似的域名（例如：同形异义字、域名抢注、不同的顶级域等），以帮助促成[路过式攻陷](https://attack.mitre.org/techniques/T1189)。