T1189: 路过式入侵

摘要

攻击者可能通过用户在日常浏览过程中访问网站来获得对系统的访问权限。存在多种向浏览器投递漏洞利用代码的方式（即[路过式目标](https://attack.mitre.org/techniques/T1608/004)），包括： * 合法网站被入侵，使攻击者能够注入恶意代码 * 从可公开写入的云存储桶提供给合法网站的脚本文件被攻击者修改 * 通过合法广告提供商付费投放的恶意广告（即[恶意广告](https://attack.mitre.org/techniques/T1583/008)） * 利用允许用户可控内容的内置 Web 应用程序接口来插入恶意脚本或 iFrame（例如跨站脚本） 浏览器推送通知也可能被攻击者滥用，并通过[用户执行](https://attack.mitre.org/techniques/T1204)被利用进行恶意代码注入。通过在浏览器推送通知上点击“允许”，用户可能授予网站在其浏览器上运行 JavaScript 代码的权限。(Citation: Push notifications - viruspositive)(Citation: push notification -mcafee)(Citation: push notifications - malwarebytes) 攻击者使用的网站通常是特定群体（如政府、特定行业或特定地区）访问的网站，其目标是基于共同兴趣入侵特定用户或一组用户。这类定向活动通常被称为战略性 Web 入侵或水坑攻击。已有若干已知的此类事件实例。(Citation: Shadowserver Strategic Web Compromise) 典型的路过式入侵过程： 1. 用户访问一个用于托管攻击者控制内容的网站。 2. 脚本自动执行，通常会搜索浏览器和插件的版本以寻找可能易受攻击的版本。用户可能被要求通过启用脚本、通知或活动网站组件并忽略警告对话框来协助此过程。 3. 一旦发现易受攻击的版本，漏洞利用代码就会被投递到浏览器。 4. 如果利用成功，攻击者将在用户系统上获得代码执行，除非有其他保护措施。在某些情况下，需要在初始扫描后第二次访问该网站才会投递漏洞利用代码。 与[利用面向公众的应用程序](https://attack.mitre.org/techniques/T1190)不同，此技术的重点是在用户访问网站时利用客户端端点上的软件。这通常会为攻击者提供对内部网络系统的访问权限，而不是可能位于 DMZ 中的外部系统。