凭证窃取攻击测试 dump lsass 智量无拦截

显示全部楼层 · 发表于 2022-6-19 09:21:52

Jirehlov1234 发表于 2022-6-19 09:12
那就不知道了，上次是拿新装的虚拟机测试的，avdump给到了SYSTEM权限

确实没有PPL，去查了下资料，系统默认没开lsass的PPL.......

显示全部楼层 · 发表于 2022-6-19 09:32:07

智量官方发表于 2022-6-19 08:29
感谢测试，我们会分析解决。另外LSASS.exe在Win8后是受PPL保护进程，其它程序是无法读取内存的，楼主是自 ...

它是要先手动启用LSA保护，LSASS.exe才会有PPL，默认的话，没有PPL

显示全部楼层 · 发表于 2022-6-19 09:50:37

00006666 发表于 2022-6-19 01:21
确实没有PPL，去查了下资料，系统默认没开lsass的PPL.......

刚才试了一下，没有ppl也是access denied
不想深究了

显示全部楼层 · 发表于 2022-6-19 09:58:20

Jirehlov1234 发表于 2022-6-19 09:50
刚才试了一下，没有ppl也是access denied
不想深究了

应该就是权限的问题，我是直接给的超级管理员权限

显示全部楼层 · 发表于 2022-6-19 11:25:08

有点吹毛求疵了

显示全部楼层 · 发表于 2022-6-19 12:05:22

00006666 发表于 2022-6-19 09:07
刚刚去查了下资料，系统默认lsass是没有开启PPL保护的，需要手动开启 @Jirehlov1234

是的，MS Security Guide组策略模板的一项

显示全部楼层 · 发表于 2022-6-19 12:07:04

Jirehlov1234 发表于 2022-6-19 09:12
那就不知道了，上次是拿新装的虚拟机测试的，avdump给到了SYSTEM权限

会不会和 Microsoft Defender 有关？

显示全部楼层 · 发表于 2022-6-19 12:21:53

a27573 发表于 2022-6-19 12:07
会不会和 Microsoft Defender 有关？

还真有可能……，因为我电脑有装360，Microsoft Defender是关闭的……

显示全部楼层 · 发表于 2022-6-19 14:58:25

多变的风向发表于 2022-6-19 11:25
有点吹毛求疵了

有人帮助完善身边的事物是她变得更好
我觉得是一件很不错的事情

显示全部楼层 · 发表于 2022-6-19 18:53:07

抽空试了下，智量2.5是可以拦截的。

所以我猜测是后来的版本中智量去除了对这一行为的检测。可能是为了降低误报。

[讨论] 凭证窃取攻击测试 dump lsass 智量无拦截