T1552.001: 文件中的凭据

摘要

攻击者可能在本地文件系统和远程文件共享中搜索包含不安全存储的凭据的文件。这些可能是用户为存储自己的凭据而创建的文件、为一组个人共享的凭据存储、包含系统或服务密码的配置文件，或包含嵌入密码的源代码/二进制文件。 可以通过[操作系统凭据转储](https://attack.mitre.org/techniques/T1003)从备份或保存的虚拟机中提取密码。(Citation: CG 2014) 密码也可能从存储在 Windows 域控制器上的组策略首选项中获取。(Citation: SRD GPP) 在云和/或容器化环境中，经过身份验证的用户和服务账户凭据通常存储在本地配置和凭据文件中。(Citation: Unit 42 Hildegard Malware) 它们也可能作为容器日志中部署命令的参数被找到。(Citation: Unit 42 Unsecured Docker Daemons) 在某些情况下，这些文件可以被复制并在另一台机器上重用，或者可以读取其内容然后用于身份验证，而无需复制任何文件。(Citation: Specter Ops - Cloud Credential Storage)