ATT&CK系列之提权篇

        该篇主要介绍攻击队常用提权技术和工具，通过提权技术，可以执行更多恶意操作，可以使用更多持久化手段

1. 滥用系统提供的权限提升机制

1.1 Setuid和Setgid

错误的设置标志位，导致权限提升漏洞

1.2 绕过UAC

UAC是windows上一种权限控制机制，可以使用一些方法绕过UAC

1.3 sudo

1.4 提示提权

AuthorizationExecuteWithPrivileges 

1.5 临时提升云访问权限

1.6 TCC操作

2. 操纵访问令牌

2.1 令牌的偷取或模拟

复制令牌，以盗取令牌身份创建进程

2.2  使用指定令牌创建进程

CreateProcessWithTokenW RunAs

2.3 创建令牌

LogonUser SetThreadToken 

2.4 父pid欺骗

2.5 SID历史注入

3. 操纵账户

3.1 额外的云凭证

3.2 额外的电子邮件权限

3.3 额外的云角色

3.4 SSH授权

通过修改authorized_keys，实现免密登录

3.5 MFA设备注册

3.6 额外的集群容器角色

4.启动或登录后自动执行的程序

参考文章：ATT&CK系列之持久化篇-CSDN博客

5. 启动或登录后自动执行的脚本

参考文章：ATT&CK系列之持久化篇-CSDN博客

6. 创建或修改系统进程

参考文章：ATT&CK系列之持久化篇-CSDN博客

7. 域或租户策略修改

7.1 组策略修改

7.2 域信任关系修改

8. 容器逃逸

利用容器文件系统挂载，利用容器特权命令等逃离容器环境，在主机上执行恶意代码

9. 事件触发执行

参考文章：ATT&CK系列之持久化篇-CSDN博客

10.权限升级漏洞利用

11. 劫持执行流

参考文章：ATT&CK系列之持久化篇-CSDN博客

12.  进程注入

12.1 动态链接库注入

将恶意代码写在dll等文件中，使用远程线程等多种手段，将dll注入进程后，dll中代码的权限就是被注入进程的权限

12.2 PE文件注入

12.3 线程执行注入

挂起进程原有线程，创建或修改新的可执行代码，恢复线程执行恶意代码

12.4 异步过程注入

12.5 本地线程存储回调

12.6 Ptrace系统调用

12.7 Proc虚拟文件系统

12.8 额外的窗口内存注入

利用GUI程序注册窗口类时指定的额外内存

12.9 傀儡进程

以挂起方式创建进程，重新映射需要的dll，和恶意代码后再恢复进程运行，外观看到的进程信息和事件运行的代码不相同，可以规避部分安全软件的检测

12.10 从内存拷贝恶意代码执行

利用文件事务机制，恢复文件合法内容。创建新进程，拷贝内存中保留的恶意代码并执行

12.11 VDSO 注入

12.12 列表控件植入

 SendMessage LVM_SETITEMPOSITION,LVM_GETITEMPOSITION ,LVM_SORTITEMS 

13. 计划任务

参考文章：ATT&CK系列之持久化篇-CSDN博客

14. 合法的账户