physmem2profit

Physmem2profit Physmem2profit 可用于通过远程分析物理内存来创建目标主机 LSASS 进程的 minidump。本研究的目的是提出一种凭证窃取的替代方法，并创建一个模块化框架，以便扩展支持其他可以访问物理内存的驱动程序。Physmem2profit 会生成 LSASS 的 minidump（.dmp），可进一步使用 Mimikatz 进行分析。该工具不要求使用 Cobalt Strike，但应能通过带有 SOCKS 代理的 beacon 正常工作。 思路如下图所示： 该工具包含两个组件： 1. C 服务端组件 physmem2profit.exe，在目标主机上...