RustiveDump:一款基于NT系统调用的LSASS内存转储工具

admin 2024年11月18日23:00:30评论15 views字数 1544阅读5分8秒阅读模式
RustiveDump:一款基于NT系统调用的LSASS内存转储工具
关于RustiveDump

RustiveDump是一款基于NT系统调用的LSASS内存转储工具,该工具使用Rust开发,旨在帮助广大研究人员仅使用NT 系统调用转储lsass.exe进程的内存。

RustiveDump:一款基于NT系统调用的LSASS内存转储工具

该工具能够创建最小的 minidump,其中包含SystemInfo、ModuleList和Memory64List等基本组件,使用 Rust 构建,无 std,独立于 C 运行时 (CRT)。它可以编译为 shellcode (PIC),并支持 XOR 加密和远程文件传输。

功能介绍

1、所有操作均采用 NT 系统调用:RustiveDump 绕过标准 API,并利用 NT 系统调用执行所有操作。

2、无Std和 CRT 独立:RustiveDump 使用 Rust 的特性构建no_std,消除了对 Rust 标准库的依赖,并且独立于 CRT 库,因此精简版本仅18KB。

3、位置独立代码 (PIC):RustiveDump 现在实现了 Rustic64 的设计,允许将其编译为shellcode (PIC),从而使其更加通用。

4、间接 NT 系统调用:该工具使用间接系统调用,通过Hell's Gate、Halo's Gate和Tartarus' Gate等技术检索系统服务编号 (SSN) 。

5、精益内存转储:RustiveDump 生成集中内存转储,仅包含必要数据(即SystemInfo、ModuleList和Memory64List),确保没有臃肿的文件,足以满足您的内存分析工具(如Mimikatz或Pypykatz)的需求。

6、XOR 加密:RustiveDump 可以在保存或传输转储文件之前使用 XOR 对其进行加密,为转储的内存添加额外的安全层。

7、远程文件传输:可以使用winsock API 调用,支持将转储文件直接发送到远程服务器。

8、调试模式:调试模式提供每个步骤的详细日志,可以在构建过程中启用。

工具要求

Rust

Cargo

工具安装

广大研究人员可以直接使用下列命令将该项目源码克隆至本地:

git clone https://github.com/safedv/RustiveDump.git
代码构建

RustiveDump 通过Cargo Make提供了几个可配置的构建选项,以自定义工具的行为。您可以启用XOR 加密、远程文件传输和详细日志记录等功能。

可用功能:

xor:使用 XOR 加密来加密转储文件。

debug:为流程的每个步骤启用详细日志。

remote:通过 Winsock 将转储文件发送到远程服务器。

lsasrv:过滤内存转储以仅包含来自lsass.exe的lsasrv.dll模块。

要使用不同的功能组合构建 RustiveDump,请使用以下命令:

基本构建(本地保存转储,无附加功能):

cargo make

使用特定功能进行构建:

cargo make --env FEATURES=xor,remote,lsasrv,debug

构建为 Shellcode (PIC):

cargo make --env FEATURES=xor,remote pic
内存转储文件结构

RustiveDump 生成一个极简的 minidump 文件,仅包含Mimikatz和Pypykatz等工具的基本组件。该文件由三个核心流组成:

1、SystemInfo Stream:操作系统版本和架构详情。

2、ModuleList Stream:列出lsass.exe中加载的模块。

3、Memory64List Stream :来自lsass.exe的内存区域。

许可证协议

本项目的开发与发布遵循MIT开源许可协议。

项目地址

RustiveDump

https://github.com/safedv/RustiveDump

原文始发于微信公众号(FreeBuf):RustiveDump:一款基于NT系统调用的LSASS内存转储工具

 

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年11月18日23:00:30
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   RustiveDump:一款基于NT系统调用的LSASS内存转储工具https://cn-sec.com/archives/3407745.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息