T1539: 窃取 Web 会话 Cookie

摘要

攻击者可能窃取 Web 应用或服务的会话 Cookie，并利用它们以已认证用户的身份访问 Web 应用或互联网服务，而无需凭据。Web 应用和服务通常在用户通过网站身份验证后使用会话 Cookie 作为身份验证令牌。 Cookie 通常在较长时间内有效，即使 Web 应用未被积极使用。Cookie 可以在磁盘上、浏览器的进程内存中以及发往远程系统的网络流量中找到。此外，目标机器上的其他应用可能在内存中存储敏感的认证 Cookie（例如向云服务进行身份验证的应用）。会话 Cookie 可用于绕过某些多因素身份验证协议。(Citation: Pass The Cookie) 有若干恶意软件针对本地系统上 Web 浏览器 Cookie 的例子。(Citation: Kaspersky TajMahal April 2019)(Citation: Unit 42 Mac Crypto Cookies January 2019) 攻击者还可能通过向网站注入恶意 JavaScript 内容，或依赖[用户执行](https://attack.mitre.org/techniques/T1204)诱骗受害者在浏览器中运行恶意 JavaScript 来窃取 Cookie。(Citation: Talos Roblox Scam 2023)(Citation: Krebs Discord Bookmarks 2023) 还有一些开源框架，如 `Evilginx2` 和 `Muraena`，可以通过恶意代理（例如[中间人](https://attack.mitre.org/techniques/T1557)）收集会话 Cookie，攻击者可搭建此类代理并用于钓鱼攻击活动中。(Citation: Github evilginx2)(Citation: GitHub Mauraena) 在攻击者获取有效 Cookie 后，他们随后可以执行[Web 会话 Cookie](https://attack.mitre.org/techniques/T1550/004)技术登录相应的 Web 应用。