T1033: 系统所有者/用户发现

摘要

攻击者可能尝试识别主要用户、当前登录用户、常用某系统的用户集合，或用户是否正在积极使用该系统。例如，他们可以通过检索账户用户名或使用[操作系统凭据转储](https://attack.mitre.org/techniques/T1003)来做到这一点。由于用户和用户名详情普遍存在于整个系统中，包括运行中进程的所有权、文件/目录所有权、会话信息和系统日志，因此可以使用其他发现技术以多种不同方式收集这些信息。攻击者可能在自动化发现过程中利用[系统所有者/用户发现](https://attack.mitre.org/techniques/T1033)获得的信息来塑造后续行为，包括决定是否完全感染目标以及/或尝试特定操作。 各种实用程序和命令可以获取此信息，包括 <code>whoami</code>。在 macOS 和 Linux 中，可以使用 <code>w</code> 和 <code>who</code> 识别当前登录用户。在 macOS 上，还可以使用 <code>dscl . list /Users | grep -v '_'</code> 命令枚举用户账户。还可以使用环境变量（例如 <code>%USERNAME%</code> 和 <code>$USER</code>）访问此信息。 在网络设备上，可以使用 `show users` 和 `show ssh` 等[网络设备 CLI](https://attack.mitre.org/techniques/T1059/008) 命令显示当前登录设备的用户。(Citation: show_ssh_users_cmd_cisco)(Citation: US-CERT TA18-106A Network Infrastructure Devices 2018)