未加引号的服务路径漏洞的潜在利用

攻击者可能会利用未加引号的服务路径漏洞来提升权限。通过将可执行文件放置在未加引号的服务可执行文件路径中的上层目录中，Windows 将从其定义的路径变量而不是更深层目录中的良性可执行文件路径启动此可执行文件，从而导致代码执行。

规则类型: eql

规则索引:

严重性: 低

风险评分: 21

每隔: 5 分钟

搜索索引自: now-9m (日期数学格式，另见 额外回溯时间)

每次执行的最大告警数: 100

参考资料: 无

标签:

版本: 203

规则作者:

规则许可证: Elastic License v2

process where host.os.type == "windows" and event.type == "start" and
  (
    process.executable : "?:\\Program.exe" or
    process.executable regex """(C:\\Program Files \(x86\)\\|C:\\Program Files\\)\w+.exe"""
  )