Lsass Shtinkering

طريقة جديدة لتفريغ (dump) ذاكرة LSASS عبر إساءة استخدام خدمة Windows Error Reporting. حيث تُرسل رسالة إلى الخدمة باستخدام بروتوكول ALPC للإبلاغ عن استثناء في LSASS. سيؤدي هذا الإبلاغ إلى قيام الخدمة بتفريغ ذاكرة LSASS.

المتطلبات الأساسية

يجب تعيين قيمة التسجيل "DumpType" تحت المسار "HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps" إلى القيمة 2.

الاعتمادات

• Asaf Gilboa

المراجع

• https://media.defcon.org/DEF%20CON%2030/DEF%20CON%2030%20presentations/Asaf%20Gilboa%20-%20LSASS%20Shtinkering%20Abusing%20Windows%20Error%20Reporting%20to%20Dump%20LSASS.pdf