BYOVD(自带易受攻击驱动).

一种攻击技术,攻击者加载经过合法签名但存在漏洞的内核驱动,然后利用该漏洞获取内核级访问权限并禁用安全工具。 它属于网络安全的 攻击与威胁 分类。

一种攻击技术,攻击者加载经过合法签名但存在漏洞的内核驱动,然后利用该漏洞获取内核级访问权限并禁用安全工具。

自带易受攻击驱动(Bring Your Own Vulnerable Driver,BYOVD)是一种防御规避与权限提升技术:攻击者将一个经过合法代码签名但存在漏洞的内核模式驱动部署到目标系统,并滥用其漏洞在内核中执行代码或读写内存。由于该驱动带有有效的数字签名,即使在强制实施驱动签名验证的系统上也能加载,从而赋予攻击者 ring-0 权限,这是用户模式防护无法阻止的。进入内核后,攻击者通常会终止或致盲端点防护、移除进程保护、安装 rootkit 或篡改日志。防御措施包括微软的易受攻击驱动阻止列表、虚拟化保护的代码完整性(HVCI)以及攻击面缩减规则;社区项目 LOLDrivers 收录了已知的易受攻击驱动。

针对 BYOVD(自带易受攻击驱动) 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: Bring Your Own Vulnerable Driver, 易受攻击驱动滥用。