T1006: 直接卷访问

摘要

攻击者可能直接访问卷，以绕过文件访问控制和文件系统监控。Windows 允许程序直接访问逻辑卷。具有直接访问权限的程序可以通过分析文件系统数据结构，直接从驱动器读取和写入文件。此技术可能绕过 Windows 文件访问控制以及文件系统监控工具。(Citation: Hakobyan 2009) 存在诸如 `NinjaCopy` 之类的实用程序，可用于在 PowerShell 中执行这些操作。(Citation: Github PowerSploit Ninjacopy) 攻击者还可能使用内置或第三方实用程序（例如 `vssadmin`、`wbadmin` 和 [esentutl](https://attack.mitre.org/software/S0404)）从系统卷创建数据的卷影副本或备份。(Citation: LOLBAS Esentutl)