清除六大内核回调
以及内核致盲EDR的手法
在虚拟机下（没有开启PPL），我们运行mimikatz的话，是会有这样的一个报错
但是用我们的圈子内部的插件，只需点击即可取消PPL。
添加规则抓取win11的密码
我们去把mimikatz的源码下载回来（注意，一定要是最新版本） https://github.com/gentilkiwi/mimikatz/releases/download/2.2.0-20220919/mimikatz_trunk.7z 我们可以在 kuhl_m_sekurlsa_utils.c 这个文件中，看见有这么几个规则
由于mimikatz的抓取密码的其中一个点就是通过去 读取Lsass.exe中的LSASRV.dll模块的内存 其中，由于LSASRV.dll 中的两个变量 LogonSessionList 和 LogonSessionListCount存储着当前的登陆会话列表，并且LsaSrvReferences数组存储着不同系统版本的索引特征码，所以我们增加的这两个匹配特征就是对应的新版的win11。
然后我们再去抓密码
当然我们实战中肯定不会上传（或者用我们的内部插件进行内存加载是一个不错的替代） 我们换成 .dmp 文件离线解密也是可以的
圈子介绍
目前圈子已满100人，感谢各位师傅的信任，也祝大家新年快乐，天天0Day！
目前圈子价格169，新年期间圈子价格直降69，只需要100元即可加入圈子，学生在此基础上优惠10元！
优惠日期：年初一至年初七！ 联系文末圈主加入！
近期圈子内容
原文始发于微信公众号（半只红队）：【Win11抓不到密码?】| 内存匹配规则的添加！！
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论