凭证窃取攻击测试 dump lsass 智量无拦截

显示全部楼层 · 发表于 2022-6-18 21:56:48

本帖最后由 00006666 于 2022-6-18 22:22 编辑

渗透测试中比较常见的凭证窃取攻击 dump lsass 智量无拦截 (V3.07最新版智量) @swizzer

转储出来的dmp文件可被解密，最终获取系统管理员密码

测试360

拦截:

显示全部楼层 · 发表于 2022-6-18 22:49:02

显示全部楼层 · 发表于 2022-6-19 03:26:27

我记得智量官网介绍内存保护不是说可以防御注入、远程线程和Mimikatz吗

显示全部楼层 · 发表于 2022-6-19 07:15:22

本帖最后由 00006666 于 2022-6-19 07:16 编辑

yexo 发表于 2022-6-19 03:26
我记得智量官网介绍内存保护不是说可以防御注入、远程线程和Mimikatz吗

Mimikatz确实会拦截，所以这里没有直接用Mimikatz来转储lsass

显示全部楼层 · 发表于 2022-6-19 08:29:53

swizzer 发表于 2022-6-18 22:49
@智量官方

感谢测试，我们会分析解决。另外LSASS.exe在Win8后是受PPL保护进程，其它程序是无法读取内存的，楼主是自己关闭lsass保护了吗? 我们测试了Win8,Win10等几个系统, avdump.exe都返回0x80070005错误

显示全部楼层 · 发表于 2022-6-19 08:43:27

本帖最后由 00006666 于 2022-6-19 11:51 编辑

智量官方发表于 2022-6-19 08:29
感谢测试，我们会分析解决。另外LSASS.exe在Win8后是受PPL保护进程，其它程序是无法读取内存的，楼主是自 ...

没有关闭任何防护………，实体机 win10 21H1系统使用avdump.exe(昨天下载的，6月18号的签名版本)，正常DUMP

不过我这里本来就是超级管理员权限，没有测试过标准账户，不知道有没有影响……

显示全部楼层 · 发表于 2022-6-19 08:59:56

小a的avdump？这玩意儿我这里裸奔都没法dump lsass，应该是有windows某种内建保护

显示全部楼层 · 发表于 2022-6-19 09:01:40

Jirehlov1234 发表于 2022-6-19 08:59
小a的avdump？这玩意儿我这里裸奔都没法dump lsass，应该是有windows某种内建保护

前面智量官人说有PPL

显示全部楼层 · 发表于 2022-6-19 09:07:22

本帖最后由 00006666 于 2022-6-19 09:11 编辑

智量官方发表于 2022-6-19 08:29
感谢测试，我们会分析解决。另外LSASS.exe在Win8后是受PPL保护进程，其它程序是无法读取内存的，楼主是自 ...

刚刚去查了下资料，系统默认lsass是没有开启PPL保护的，需要手动开启

显示全部楼层 · 发表于 2022-6-19 09:12:03

00006666 发表于 2022-6-19 01:07
刚刚去查了下资料，系统默认lsass是没有开启PPL保护的 @Jirehlov1234

那就不知道了，上次是拿新装的虚拟机测试的，avdump给到了SYSTEM权限

[讨论] 凭证窃取攻击测试 dump lsass 智量无拦截