未加引号的服务路径漏洞的潜在利用

攻击者可能会利用未加引号的服务路径漏洞来提升权限。通过将可执行文件放置在未加引号的服务可执行文件路径的更高级别目录中，Windows 将从其定义的路径变量而不是更深目录中的良性路径变量启动此可执行文件，从而导致代码执行。

规则类型: eql

规则索引:

严重程度: 低

风险评分: 21

运行频率: 5 分钟

搜索索引范围: now-9m（日期数学格式，另请参阅额外的回溯时间）

每次执行的最大警报数: 100

参考: 无

标签:

版本: 3

规则作者:

规则许可证: Elastic 许可证 v2

process where host.os.type == "windows" and event.type == "start" and
  (
    process.executable : "?:\\Program.exe" or
    process.executable regex """(C:\\Program Files \(x86\)\\|C:\\Program Files\\)\w+.exe"""
  )