可执行安装文件权限弱点

对手可能通过劫持安装程序使用的二进制文件来执行他们自己的恶意负载。这些进程可能会自动执行特定的二进制文件，作为其功能的一部分或执行其他操作。如果包含目标二进制文件的文件系统目录或二进制文件本身的权限设置不正确，则可以使用用户级权限覆盖目标二进制文件，并由原始进程执行。如果原始进程和线程在更高权限级别下运行，则替换的二进制文件也将在更高权限级别下执行，这可能包括 SYSTEM。 此技术的另一种变体可以通过利用可执行自解压安装程序中常见的弱点来执行。在安装过程中，安装程序通常使用%TEMP%目录中的子目录来解压缩 DLL、EXE 或其他负载等二进制文件。当安装程序创建子目录和文件时，它们通常不会设置适当的权限来限制写访问，这允许在子目录中执行不受信任的代码或覆盖安装过程中使用的二进制文件。这种行为与DLL 搜索顺序劫持有关，并可能利用其优势。 对手可能会使用此技术替换合法的二进制文件，以更高权限级别执行代码。一些安装程序还可能需要提升权限，这将在执行对手控制的代码时导致权限提升。这种行为与绕过用户帐户控制有关。已经向软件供应商报告了几个现有常见安装程序中此弱点的示例。(引用: mozilla_sec_adv_2012)(引用: Executable Installers are Vulnerable) 如果执行进程设置为在特定时间或某个事件（例如系统启动）期间运行，则此技术还可用于持久性。