ATT&CK v12版本战术实战研究——提权(二）

一、前言

前几期文章中，我们介绍ATT&CK 14项战术中提权战术（二），包括提权前7项子技术。那么从前文中介绍的相关提权技术来开展测试，进行更深一步的分析。本文主要内容是介绍攻击者在运用提权技术时，在相关的资产服务器或者在PC机器上所产生的特征数据进行分析，使安全运维人员在后续工作中应当如何去进行预防和快速响应。 

二、提权战术

（一）cron提权

1.1crontab介绍

Linux crontab 是用来定期执行程序的命令， crond 命令每分钟会定期检查是否有要执行的工作，如果有要执行的工作便会自动执行该工作。

1.2 Linux Cron Jobs提权

定时任务（cron job）被用于安排那些需要被周期性执行的命令。利用它可以配置某些命令或者脚本，让它们在某个设定的时间内周期性地运行。cron 是 Linux 或者类 Unix 系统中最为实用的工具之一。cron 服务（守护进程）在系统后台运行，并且会持续地检查 /etc/crontab 文件和 /etc/cron.*/ 目录。它同样也会检查 /var/spool/cron/ 目录

提权的前提是存在一个执行危险脚本的任务计划，并且这个任务计划执行的执行脚本可以被非root权限用户修改覆盖，并可以正常执行任务计划。

<