T1205.001: 端口敲门

摘要

攻击者可能使用端口敲门来隐藏用于持久化或命令与控制的开放端口。为启用某个端口，攻击者向预定义的一系列关闭端口发送一系列尝试连接。序列完成后，打开端口通常由基于主机的防火墙完成，但也可能由自定义软件实现。 已观察到此技术既用于动态打开监听端口，也用于发起与不同系统上监听服务器的连接。 对触发通信的信令数据包的观察可以通过不同方法进行。一种方法最初由 Cd00r 实现 (Citation: Hartrell cd00r 2002)，即使用 libpcap 库来嗅探相关数据包。另一种方法利用原始套接字，这使恶意软件能够使用已被其他程序打开使用的端口。