T1574.009: 通过未加引号的路径进行路径拦截

摘要

攻击者可能通过劫持存在漏洞的文件路径引用来执行自己的恶意载荷。攻击者可以利用缺少周围引号的路径，通过在该路径中更高层级的目录中放置一个可执行文件，使 Windows 选择启动攻击者的可执行文件。 服务路径 (Citation: Microsoft CurrentControlSet Services) 和快捷方式路径也可能容易受到路径拦截的影响，如果路径包含一个或多个空格且未被引号包围（例如 <code>C:\unsafe path with space\program.exe</code> 与 <code>"C:\safe path with space\program.exe"</code>）。 (Citation: Help eliminate unquoted path) （存储在 Windows 注册表键中）攻击者可以在该路径的更高层级目录中放置一个可执行文件，Windows 将解析执行该可执行文件，而不是预期的可执行文件。例如，如果快捷方式中的路径是 <code>C:\program files\myapp.exe</code>，攻击者可以创建一个位于 <code>C:\program.exe</code> 的程序，它将代替预期程序运行。 (Citation: Windows Unquoted Services) (Citation: Windows Privilege Escalation Guide) 如果可执行文件被定期调用，此技术可用于持久化；如果被拦截的可执行文件由更高权限的进程启动，则还可用于权限提升。