T1057: 进程发现

摘要

攻击者可能会尝试获取系统上正在运行的进程信息。所获得的信息可用于了解网络内系统上运行的常见软件/应用程序。管理员或其他提升的权限可能会提供更详细的进程信息。攻击者可能在自动化发现过程中使用来自 [进程发现](https://attack.mitre.org/techniques/T1057) 的信息来塑造后续行为，包括攻击者是否完全感染目标以及/或尝试特定操作。 在 Windows 环境中，攻击者可以通过 [cmd](https://attack.mitre.org/software/S0106) 使用 [Tasklist](https://attack.mitre.org/software/S0057) 工具，或通过 [PowerShell](https://attack.mitre.org/techniques/T1059/001) 使用 <code>Get-Process</code> 来获取正在运行的进程详细信息。进程信息也可以从 [Native API](https://attack.mitre.org/techniques/T1106) 调用(如 <code>CreateToolhelp32Snapshot</code>)的输出中提取。在 Mac 和 Linux 上，可通过 <code>ps</code> 命令实现。攻击者也可能选择通过 `/proc` 枚举进程。ESXi 也支持使用 `ps` 命令以及 `esxcli system process list`。(Citation: Sygnia ESXi Ransomware 2025)(Citation: Crowdstrike Hypervisor Jackpotting Pt 2 2021) 在网络设备上，可以使用 [Network Device CLI](https://attack.mitre.org/techniques/T1059/008) 命令(如 `show processes`)来显示当前正在运行的进程。(Citation: US-CERT-TA18-106A)(Citation: show_processes_cisco_cmd)