T1087.001: 本地账户

摘要

攻击者可能尝试获取本地系统账户的列表。此信息可以帮助攻击者确定系统上存在哪些本地账户，以协助后续行为。 [Net](https://attack.mitre.org/software/S0039) 工具的 <code>net user</code> 和 <code>net localgroup</code> 等命令，以及 macOS 和 Linux 上的 <code>id</code> 和 <code>groups</code> 可以列出本地用户和组。(Citation: Mandiant APT1)(Citation: id man page)(Citation: groups man page)在 Linux 上，本地用户也可以通过使用 <code>/etc/passwd</code> 文件来枚举。在 macOS 上，可以使用 <code>dscl . list /Users</code> 命令枚举本地账户。在 ESXi 服务器上，`esxcli system account list` 命令可以列出本地用户账户。(Citation: Crowdstrike Hypervisor Jackpotting Pt 2 2021)