| 侦查（Reconnaissance) | 资源开发（Resource Dev） | 初次访问（initial access) | 命令执行（Execution) | 持久化（Persistence） | 提权（Privilege Escalation) | 防御规避（Defense Evasion) | 凭证访问（Credential Access） | 发现（Discovery） | 横向移动（Lateral Movement） | 收集（Collection） | 命令与控制（Command & Control） | 数据外泄（Exfiltration） | 影响（Impact） |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| IP地址块扫描 | 域名 | 水坑攻击 | Powershell | 其他云证书 | Setuid和Setgid | Setuid和Setgid | 密码猜测 | 本地账户 | 远程服务漏洞利用 | 通过使用程序打包 | 网络协议 | 流量复制 | 删除帐户访问权限 |
| 漏洞扫描 | DNS服务器 | 利用公开漏洞 | Applescript | Exchange电子邮件委托权限 | 绕过用户帐户控制 | 绕过用户帐户控制 | 密码破解 | 域账户 | 内网鱼叉式钓鱼 | 通过库打包 | 文件传输协议 | 数据传输大小限制 | 数据销毁 |
| 硬件 | VPS | 外部远程服务 | Windows cmd | 添加Office 365全局管理员角色 | sudo和sudo缓存 | sudo和sudo缓存 | 密码喷洒 | 邮箱账户 | 横向工具传输 | 通过自定义方式打包 | 邮件协议 | 通过对称加密非C2协议泄露 | 加密数据（上锁） |
| 软件 | 服务器 | 硬件攻击 | Unix shell | SSH授权密钥 | 以提示用户输入凭据的方式升级权限 | Elevated Execution with Prompt | 凭证填充（撞库） | 云账户 | SSH劫持 | 音频捕获 | DNS（DNS隧道） | 通过非对称加密非C2协议泄露 | 存储数据处理 |
| 固件 | 僵尸网络 | 鱼叉式钓鱼附件 | VB | BITS作业 | 令牌模拟/窃取 | 令牌模拟/窃取 | 密钥串(keychain) | 应用窗口发现 | RDP劫持 | 自动化收集 | 可移动媒体通信 | 通过未加密/混淆的非C2协议泄露 | 传输数据处理 |
| 客户端配置 | 网站服务 | 鱼叉式钓鱼链接 | Python | 注册表运行键\启动文件夹 | 使用令牌创建进程 | 使用令牌创建进程 | Securityd内存 | 浏览器书签发现 | 远程桌面协议 | 剪切板数据 | 标准编码 | 通过C2信道泄露 | 运行数据处理 |
| 证书 | 社交媒体账户 | 鱼叉式钓鱼服务 | JavaScript | 身份验证包 | 制作和模拟令牌 | 制作和模拟令牌 | Web浏览器的凭证 | 云基础设施发现 | SMB/Windows管理员共享 | 云存储对象数据 | 非标准编码 | 通过蓝牙泄露 | 内部毁损 |
| Email地址 | 邮箱账户 | 通过可移动媒介传播 | 网络设备CLI | Time Providers | PPID欺骗 | PPID欺骗 | 利用凭证访问 | 云服务仪表盘 | 分布式组件对象模型 | SNMP（MIB转储） | 垃圾数据 | 通过USB泄露 | 外部毁损 |
| 员工姓名 | 域名 | 软件依赖和开发工具攻击 | 利用客户端软件漏洞执行 | Winlogon Helper DLL | SID-History注入 | SID-History注入 | 强制认证 | 云服务发现 | SSH | 网络设备配置转储 | 隐写术 | 从代码库泄露 | 磁盘内容擦除 |
| 域名属性 | DNS服务器 | 软件供应链攻击 | 组件对象模型 | 安全支持提供者 | 注册表运行键\启动文件夹 | BITS作业 | 键盘记录 | 域信任发现 | VNC | Confluence | 协议模拟 | 从云存储泄露 | 磁盘结构擦除 |
| DNS | VPS | 硬件供应链攻击 | 动态数据交换 | 内核模块和扩展 | 身份验证包 | 解混淆/解码文件或信息 | GUI输入捕获 | 文件和目录发现 | Windows远程管理 | 共享点 | 域生成算法（DGA） | 定时传输 | 操作系统（OS）泛洪攻击 |
| 网络信任依赖项 | 服务器 | 信任关系 | 原生API | 重新打开的应用程序 | 时间服务器 | 直接访问卷 | Web门户捕获 | 网络服务扫描 | 通过可移动媒体复制 | 本地系统数据 | Fast Flux DNS | 数据转移到云账户 | 服务泛洪攻击 |
| 网络拓扑结构 | 僵尸网络 | 默认账户 | At(windows) | LSASS驱动程序 | Winlogon助手DLL | 环境密钥 | 凭证API劫持 | 网络共享发现 | 应用部署软件 | 网络共享驱动数据 | DNS计算 | 应用泛洪攻击 | |
| IP地址 | 网站服务 | 域账户 | 计划任务 | 修改快捷方式 | 安全支持提供者 | 漏洞利用来规避防御 | LLMNR/NBT-NS投毒和SMB中继 | 网络嗅探 | 污染共享内容 | 可移动媒体数据 | 对称加密 | 应用程序或系统漏洞利用 | |
| 网络安全设备 | 恶意软件 | 本地账户 | At(Linux) | 端口监视器 | 内核模块和扩展 | Windows文件和目录权限修改 | ARP缓存投毒 | 密码策略发现 | Pass the Hash | 本地数据暂存（汇聚） | 非对称加密 | 固件损坏 | |
| 商业关系 | 电子证书 | 云账户 | Launchd | Plist文件修改 | 重新打开的应用程序 | Linux、Mac文件和目录权限修改 | 域控制器认证 | 外围设备发现 | Pass the Ticket | 远程数据暂存（汇聚） | 备用信道 | 禁止系统恢复 | |
| 确定物理位置 | 代码签名证书 | Cron | 打印处理器 | LSASS驱动程序 | 修改组策略 | 密码过滤DLL | 域组 | 应用程序访问令牌 | 本地电子邮件收集 | 入口工具转移 | 直接网络泛洪攻击 | ||
| 确定业务 | 漏洞利用 | Systemd Timers | 登录脚本（windows） | 修改快捷方式 | 隐藏文件和目录 | 可插拔认证模块 | 本地组 | Web会话Cookie | 远程电子邮件收集 | 多级信道 | 反射放大攻击 | ||
| 确定角色 | 社交媒体账户 | 共享模块 | 登录脚本（mac） | 端口监视器 | 隐藏用户 | 网络设备认证 | 云组 | 电子邮件转发规则 | 非应用层协议 | 资源劫持 | |||
| 鱼叉式钓鱼服务 | 邮箱账户 | 软件部署工具 | 网络登录脚本 | Plist文件修改 | 隐藏窗口 | 网络嗅探 | 进程发现 | 键盘记录 | 非常用端口 | 服务暂停 | |||
| 鱼叉式钓鱼附件 | 恶意软件 | Launchctl | rc.common | 打印处理器 | NTFS文件属性 | LSASS内存 | 查询注册表 | GUI输入捕获 | 协议隧道 | 系统关机\重启 | |||
| 鱼叉式钓鱼链接 | 工具 | Service执行 | 启动项 | 登录脚本（windows） | 隐藏文件系统 | SAM | 远程系统发现 | Web门户捕获 | 内部代理 | ||||
| 威胁情报供应商 | 电子证书 | 恶意文件 | 浏览器扩展 | 登录脚本（mac） | 运行虚拟实例 | NTDS | 安全软件发现 | 凭证API劫持 | 外部代理 | ||||
| 买卖技术信息 | 代码签名证书 | 恶意链接 | 受损客户端软件二进制文件 | 网络登录脚本 | VBA Stomping | DCSync | 系统信息发现 | 浏览器中间人攻击 | 多跳代理 | ||||
| WHOIS | 漏洞利用 | Windows管理规范 | 本地账户 | rc.common | 服务文件权限缺陷 | Proc文件系统 | 系统网络配置发现 | LLMNR/NBT-NS投毒和SMB中继 | 域前置 | ||||
| DNS\被动DNS | 脆弱性 | 域账户 | 启动项 | 可执行安装文件权限缺陷 | /etc/passwd和/etc/shadow | 系统网络连接发现 | ARP缓存投毒 | 远程访问软件 | |||||
| 电子证书 | 云账户 | Launch代理 | 服务注册表权限缺陷 | 域凭证缓存 | 系统所有者/用户发现 | 屏幕截图 | 端口敲击 | ||||||
| CDNs | Launch代理 | Systemd服务 | 未加引号的路径拦截 | LSA机密 | 系统服务发现 | 视频捕获 | Dead drop解析器 | ||||||
| 扫描数据库 | Systemd服务 | Windows服务 | PATH环境变量路径拦截 | 窃取应用程序访问令牌 | 系统时间发现 | 双向通信 | |||||||
| 社交媒体 | Windows服务 | 运行守护进程 | 搜索顺序劫持路径拦截 | 黄金票据 | 系统检验 | 单向通信 | |||||||
| 搜索引擎 | 运行守护进程 | 更改默认文件关联 | DLL搜索顺序劫持 | 白银票据 | 基于用户活动检验 | ||||||||
| 受害人网站信息搜索 | 更改默认文件关联 | 屏幕保护 | DLL侧载 | Kerberoasting | 基于时间规避 | ||||||||
| 屏幕保护 | windows管理规范WMI | LD_PRELOAD | AS-REP Roasting | ||||||||||
| windows管理规范WMI | .bash_profile和.bashrc | Dylib劫持 | 窃取Web会话Cookie | ||||||||||
| .bash_profile和.bashrc | trap | COR_PROFILER | 双因素认证拦截 | ||||||||||
| trap | LC_LOAD_DYLIB添加 | 禁用或修改工具 | 文件内凭证 | ||||||||||
| LC_LOAD_DYLIB添加 | Netsh助手DLL | 禁用Windows事件记录 | 注册表内凭证 | ||||||||||
| Netsh助手DLL | 辅助功能 | 削弱命令历史日志 | Bash历史 | ||||||||||
| 辅助功能 | AppCert DLLs | 禁用或修改系统防火墙 | 私钥 | ||||||||||
| AppCert DLLs | AppInit DLLs | 封锁（告警）提示 | 云实例元数据API | ||||||||||
| AppInit DLLs | 应用Shim | 禁用或修改云防火墙 | 组策略首选项 | ||||||||||
| 应用Shim | 图像文件执行选项注入 | 禁用云日志 | |||||||||||
| 图像文件执行选项注入 | PowerShell配置文件 | 删除Windows事件日志 | |||||||||||
| PowerShell配置文件 | Emond | 删除Linux或Mac事件日志 | |||||||||||
| Emond | COM劫持 | 删除历史指令 | |||||||||||
| COM劫持 | 利用权限提升漏洞 | 删除文件 | |||||||||||
| 外部远程服务 | 修改组策略 | 删除网络共享连接 | |||||||||||
| 服务文件权限缺陷 | 服务文件权限缺陷 | Timestomp工具 | |||||||||||
| 可执行安装文件权限缺陷 | 可执行安装文件权限缺陷 | 间接命令执行 | |||||||||||
| 服务注册表权限缺陷 | 服务注册表权限缺陷 | 无效代码签名 | |||||||||||
| 未加引号的路径拦截 | 未加引号的路径拦截 | RTLO | |||||||||||
| PATH环境变量路径拦截 | PATH环境变量路径拦截 | 重命名系统程序 | |||||||||||
| 搜索顺序劫持路径拦截 | 搜索顺序劫持路径拦截 | 伪装任务或服务 | |||||||||||
| DLL搜索顺序劫持 | DLL搜索顺序劫持 | 匹配合法名称或地理位置 | |||||||||||
| DLL侧载 | DLL侧载 | 文件名后置空格 | |||||||||||
| LD_PRELOAD | LD_PRELOAD | 域控制器认证 | |||||||||||
| Dylib劫持 | Dylib劫持 | 密码过滤DLL | |||||||||||
| COR_PROFILER | COR_PROFILER | 可插拔认证模块 | |||||||||||
| 植入容器镜像 | DLL注入 | 网络设备认证 | |||||||||||
| 加载项 | PE文件注入 | 创建快照 | |||||||||||
| Office模板宏 | 进程替换 | 创建云实例 | |||||||||||
| Outlook表单 | 线程执行流劫持 | 删除云实例 | |||||||||||
| Outlook规则 | 异步过程调用 | 还原云实例 | |||||||||||
| Outlook主页 | 线程局部存储 | 修改注册表 | |||||||||||
| Office测试 | Ptrace系统调用 | 修补系统镜像 | |||||||||||
| 系统固件 | Proc内存 | 降级系统镜像 | |||||||||||
| 组件固件 | VDSO劫持 | NAT遍历 | |||||||||||
| 引导套件 | EWM式注入 | 二进制填充 | |||||||||||
| ROMMON套件 | 进程 Doppelgänging | 软件打包 | |||||||||||
| TFTP引导 | At(windows) | 隐写术 | |||||||||||
| At(windows) | 计划任务 | 传递后编译 | |||||||||||
| 计划任务 | At(Linux) | 删除工具中的指示器 | |||||||||||
| At(Linux) | Launchd | 系统固件 | |||||||||||
| Launchd | Cron | 组件固件 | |||||||||||
| Cron | Systemd Timers | 引导套件 | |||||||||||
| Systemd Timers | 默认账户 | ROMMON套件 | |||||||||||
| SQL存储过程 | 域账户 | TFTP引导 | |||||||||||
| 传输代理 | 本地账户 | DLL注入 | |||||||||||
| Webshell | 云账户 | PE文件注入 | |||||||||||
| 端口敲击 | 进程替换 | ||||||||||||
| 默认账户 | 线程执行流劫持 | ||||||||||||
| 域账户 | 异步过程调用 | ||||||||||||
| 本地账户 | 线程局部存储 | ||||||||||||
| 云账户 | Ptrace系统调用 | ||||||||||||
| Proc内存 | |||||||||||||
| VDSO劫持 | |||||||||||||
| EWM式注入 | |||||||||||||
| 进程 Doppelgänging | |||||||||||||
| 恶意域控制器 | |||||||||||||
| Rootkit | |||||||||||||
| Rundll32 | |||||||||||||
| 编译HTML文件 | |||||||||||||
| 控制面板 | |||||||||||||
| CMSTP | |||||||||||||
| InstallUtil | |||||||||||||
| Mshta | |||||||||||||
| Regsvcs/Regasm | |||||||||||||
| Regsvr32 | |||||||||||||
| Msiexec | |||||||||||||
| Odbcconf | |||||||||||||
| Verclsid | |||||||||||||
| PubPrn | |||||||||||||
| Gatekeeper绕过 | |||||||||||||
| 代码签名 | |||||||||||||
| 劫持SIP和信托提供商 | |||||||||||||
| 安装根证书 | |||||||||||||
| 模板注入 | |||||||||||||
| 端口敲击 | |||||||||||||
| MSBuild | |||||||||||||
| 未使用/未受支持的云区域 | |||||||||||||
| Pass the Hash | |||||||||||||
| Pass the Ticket | |||||||||||||
| 应用程序访问令牌 | |||||||||||||
| Web会话Cookie | |||||||||||||
| 默认账户 | |||||||||||||
| 域账户 | |||||||||||||
| 本地账户 | |||||||||||||
| 云账户 | |||||||||||||
| 系统检验 | |||||||||||||
| 基于用户活动检验 | |||||||||||||
| 基于时间规避 | |||||||||||||
| 减少密钥空间 | |||||||||||||
| 禁用加密硬件 | |||||||||||||
| XML脚本处理 |