T1569.002: 服务执行

摘要

攻击者可能滥用 Windows 服务控制管理器来执行恶意命令或载荷。Windows 服务控制管理器（<code>services.exe</code>）是用于管理和操纵服务的接口。(Citation: Microsoft Service Control Manager) 用户可以通过 GUI 组件以及 <code>sc.exe</code> 和 [Net](https://attack.mitre.org/software/S0039) 等系统实用工具访问服务控制管理器。 [PsExec](https://attack.mitre.org/software/S0029) 也可用于通过服务控制管理器 API 创建的临时 Windows 服务执行命令或载荷。(Citation: Russinovich Sysinternals) [PsExec](https://attack.mitre.org/software/S0029) 和 <code>sc.exe</code> 等工具可以接受远程服务器作为参数，并可用于进行远程执行。 攻击者可能利用这些机制来执行恶意内容。这可以通过执行新的或修改的服务来完成。此技术是与 [Windows 服务](https://attack.mitre.org/techniques/T1543/003)一起，在服务持久化或权限提升期间使用的执行方式。