进程披露
攻击者可能试图获取系统运行的进程信息。所获得的信息可用于了解在网络系统上运行的通用软件。
Windows
获取进程详细信息的示例命令是"tasklist
",使用了 Tasklist 实用程序。
Mac 和 Linux
在 Mac 和 Linux 中,使用 ps
命令完成。
缓解
识别可能用于获取进程信息的不必要的系统实用程序或潜在的恶意软件,并在适当的情况下使用白名单工具(如 AppLocker、或软件限制策略 ) 审计和/或拦截它们。
检测
由于攻击者了解环境,系统和网络披露技术通常可以发生在整个操作过程中。不应孤立地查看数据和事件,而应将其视为可能导致其他活动的行为链的一部分,例如基于所获得的信息的横向移动。
看似进程披露的正常的、良性的系统和网络事件可能并不常见,这取决于环境和使用它们的方式。监视可以收集系统和网络信息的进程和命令行参数的操作。具有内置功能的远程访问工具可以直接与 Windows
API 交互以收集信息。信息也可以通过 Windows 系统管理工具获取,如 Windows 管理规范和 PowerShell。
- 译者: 林妙倩、戴亦仑 . source:cve.scap.org.cn
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论