LsassReflectDumping

LsassReflectDumping 此工具利用 RtlCreateProcessReflection API 的进程分叉（Process Forking）技术来克隆 lsass.exe 进程。创建克隆后，使用 MINIDUMPCALLBACKINFORMATION 回调为克隆进程生成内存转储。 步骤 获取 Lsass.exe 进程的句柄 使用 RtlCreateProcessReflection（进程分叉）克隆 Lsass.exe 进程 使用 MINIDUMPCALLBACKINFORMATION 回调创建克隆进程的 minidump 确认转储的内容和大小。 终止克隆进程。 使用方法...