KslKatzBOF

ملف كائن منارة (BOF) لاستخراج بيانات اعتماد LSASS بشكل مضمن من C2 باستخدام تقنية BYOVD عبر برنامج التشغيل KslD.sys.

يعتمد هذا المشروع على منشور المدونة: https://avantguard.io/blog/erfahrungsbericht-ki-gest%C3%BCtzte-bof-entwicklung-im-red-team

الإسناد

يعتمد BOF هذا على KslKatz (Maximilian Barz)، والذي بدوره يستند إلى مشروعين أساسيين:

• KslDump – الوصول إلى الذاكرة الفعلية عبر BYOVD باستخدام KslD.sys (برنامج تشغيل النواة لـ Microsoft Defender)
• GhostKatz – استخراج LSASS عبر الذاكرة الفعلية باستخدام BOF

أيضًا، يبدو أن المصدر الرئيسي للثغرة هو maxkray13 ومشروعه Defender

ما يفعله

يستخرج بيانات اعتماد من LSASS المحمي بـ PPL دون الحقن في العملية، باستخدام مكونات موقعة من Microsoft موجودة بالفعل على القرص:

• MSV1_0 — تجزئات NT لكل جلسة تسجيل دخول
• WDigest — كلمات مرور نص واضح (عند تمكين التخزين المؤقت)

البناء

make

ينتج bin/kslkatzbof.x64.o.

الاستخدام

قم بتحميل BOF باستخدام أداة تحميل BOF المفضلة لديك.

إخلاء مسؤولية

للاستخدام في الاختبارات الأمنية المصرح بها فقط. إساءة استخدام هذه الأداة ضد أنظمة دون إذن صريح غير قانونية.