T1546.005: Trap

摘要

攻击者可能通过执行由中断信号触发的恶意内容来建立持久化。<code>trap</code> 命令允许程序和 shell 指定在收到中断信号时执行的命令。一种常见情况是脚本允许优雅终止并处理常见键盘中断，如 <code>ctrl+c</code> 和 <code>ctrl+d</code>。 攻击者可以利用这一点注册在 shell 遇到特定中断时执行的代码，作为持久化机制。Trap 命令的格式如下 <code>trap 'command list' signals</code>，其中当接收到 "signals" 时会执行 "command list"。(Citation: Trap Manual)(Citation: Cyberciti Trap Statements)