WSASS

WSASS Esta es una herramienta que utiliza el antiguo programa WerfaultSecure.exe para volcar la memoria de procesos protegidos por PPL Protected Process Light, como LSASS.EXE. La salida está en formato MINIDUMP de Windows. Esta herramienta reemplaza automáticamente el encabezado mágico"MDMP" por ...

blindsight

blindsight "No existe la supervivencia del más apto. Supervivencia del más adecuado, quizás. No importa si una solución es óptima. Lo único que importa es si supera a la alternativa." -- Peter Watts, Blindsight 2006 Herramienta de red team para volcar la memoria de LSASS, evadiendo contramedidas...

HandleKatz

HandleKatz 本工具是我们 Brucon2021 会议演讲的一部分实现，演示了利用 对 Lsass 的克隆句柄 来创建其混淆内存转储的方法。 它编译为一个完全位于其文本段 的可执行文件。因此，提取出的 PE 文件 .text 段是完全的位置无关代码（PIC），意味着它可以像任何 shellcode 一样被处理。 HandleKatz 在内存中执行时占用非常小的足迹，因为它本身不分配任何额外的可执行内存，因此可以有效地与如 @ForrestOrr 描述的 PhantomDLL-Hollowing 等概念结合使用。这与诸如 Donut、SRDI 或反射加载器等 PIC PE...

DuplicateDump

DuplicateDump DuplicateDump 是 MirrorDump 的一个分支，进行了以下修改： DInovke 实现 用 C++ 编写的 LSA 插件 DLL，可在转储 LSASS 后清理。MirrorDump 将 LSA 插件编译为 .NET 程序集，该程序集无法被 LSASS 进程卸载，因此 MirrorDump 无法删除该插件。 转储进程（即 DuplicateDump）的 PID 通过命名管道共享给 LSA 插件 向 MiniDumpWriteDump 传递值 "0" 而非 LSASS 的 PID。这可以防止 MiniDumpWriteDump 打开自己的 LSA...

Dumpy

Descripción Esta herramienta llama dinámicamente a MiniDumpWriteDump para volcar el contenido de la memoria de lsass. Este proceso se realiza sin abrir un nuevo identificador de proceso process handle hacia lsass y utilizando DInvokers para dificultar la detección de su comportamiento malicioso...

LsassReflectDumping

LsassReflectDumping This tool leverages the Process Forking technique using the RtlCreateProcessReflection API to clone the lsass.exe process. Once the clone is created, it utilizes MINIDUMPCALLBACKINFORMATION callbacks to generate a memory dump of the cloned process. Steps Getting the handle of...