T1559.001: 组件对象模型

摘要

攻击者可能使用 Windows 组件对象模型（COM）进行本地代码执行。COM 是原生 Windows 应用程序编程接口（API）的进程间通信（IPC）组件，它使软件对象或实现一个或多个接口的可执行代码之间能够交互。(Citation: Fireeye Hunting COM June 2019) 通过 COM，客户端对象可以调用服务器对象的方法，服务器对象通常是二进制动态链接库（DLL）或可执行文件（EXE）。(Citation: Microsoft COM) 远程 COM 执行由[远程服务](https://attack.mitre.org/techniques/T1021)（如[分布式组件对象模型](https://attack.mitre.org/techniques/T1021/003)（DCOM））促进。(Citation: Fireeye Hunting COM June 2019) 暴露了各种 COM 接口，可被滥用以通过各种编程语言（如 C、C++、Java 和 [Visual Basic](https://attack.mitre.org/techniques/T1059/005)）调用任意执行。(Citation: Microsoft COM) 还存在特定的 COM 对象，用于直接执行代码执行之外的功能，例如创建[计划任务/作业](https://attack.mitre.org/techniques/T1053)、无文件下载/执行，以及与其他权限提升和持久化相关的攻击者行为。(Citation: Fireeye Hunting COM June 2019)(Citation: ProjectZero File Write EoP Apr 2018)