Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 515

IFEO 注入

IFEO 注入 是什么?

IFEO 注入一种利用 Windows 注册表 Image File Execution Options 项的持久化与提权技术,只要目标可执行文件启动就会触发攻击者代码。

IFEO 注入(MITRE ATT&CK T1546.012)滥用 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 注册表。该机制原本用于调试,允许管理员为某个可执行文件附加 Debugger 值,Windows 启动该程序时会改为启动调试器并将原始二进制作为参数。攻击者将自己的载荷注册为 sethc.exe、utilman.exe、taskmgr.exe 等常用程序的调试器以实现持久化,或借助 GlobalFlag 与 SilentProcessExit 子键在目标进程退出时执行代码。该手法需要管理员权限,但效果显著,常被忽视。防御措施:用 Sysmon 事件 13 监控 IFEO 写入、使用 AppLocker 阻止,并对指向未签名二进制的 Debugger 值告警。

● 示例

  1. 01

    为 sethc.exe 设置 Debugger,使在锁屏界面连按五次 Shift 即可获得 SYSTEM 权限的 shell。

  2. 02

    在 lsass.exe 上配置 SilentProcessExit,在其退出时转储凭据。

● 常见问题

IFEO 注入 是什么?

一种利用 Windows 注册表 Image File Execution Options 项的持久化与提权技术,只要目标可执行文件启动就会触发攻击者代码。 它属于网络安全的 攻击与威胁 分类。

IFEO 注入 是什么意思?

一种利用 Windows 注册表 Image File Execution Options 项的持久化与提权技术,只要目标可执行文件启动就会触发攻击者代码。

IFEO 注入 是如何工作的?

IFEO 注入(MITRE ATT&CK T1546.012)滥用 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 注册表。该机制原本用于调试,允许管理员为某个可执行文件附加 Debugger 值,Windows 启动该程序时会改为启动调试器并将原始二进制作为参数。攻击者将自己的载荷注册为 sethc.exe、utilman.exe、taskmgr.exe 等常用程序的调试器以实现持久化,或借助 GlobalFlag 与 SilentProcessExit 子键在目标进程退出时执行代码。该手法需要管理员权限,但效果显著,常被忽视。防御措施:用 Sysmon 事件 13 监控 IFEO 写入、使用 AppLocker 阻止,并对指向未签名二进制的 Debugger 值告警。

如何防御 IFEO 注入?

针对 IFEO 注入 的防御通常结合技术控制与运营实践,详见上方完整定义。

IFEO 注入 还有哪些其他名称?

常见的别称包括: Image File Execution Options 滥用, 调试器劫持, SilentProcessExit 持久化。

● 相关术语