Tips系列 利用Windows自带程序白文件来挂钩导出Lsass

C:Program FilesWindowsAppsMicrosoft.DesktopAppInstaller_1.23.1911.0_x64__8wekyb3d8bbweConfigurationRemotingServer

他的作用如下：

createdump.exe 是一个用于在 Windows 系统上生成 .NET Core 应用程序的核心转储（core dump）文件的工具。当 .NET Core 应用程序崩溃时，它可以帮助开发者捕获应用程序的状态，以便进行后续分析和调试。这个工具通常与 .NET Core 运行时一起安装，并且位于运行时目录中。

使用 createdump 工具，可以生成包含有关崩溃时进程状态的信息的转储文件，这些信息包括内存、线程、堆栈跟踪等。这对于分析和诊断应用程序崩溃的原因非常有用。开发者可以使用诸如 lldb 或 WinDbg 这样的调试器来分析这些转储文件，以确定崩溃的根本原因。

这个程序本身也可以去dump lsass，但是由于过于敏感已经被各大杀软拉入黑名单，如下图：

在不使用我们所提供的工具时：

createdump.exe -p lsasspid如：createdump.exe -p 740