POSTDump

أداة أخرى لعمل minidump لعملية LSASS باستخدام بعض التقنيات لتجنب الكشف.

POSTDump هو تنفيذ C# / .NET لدالة minidump الخاصة بـ ReactOS (مثل nanodump)، وبالتالي تجنب استدعاء دالة MiniDumpWriteDump الخاصة بواجهة Windows API. رمز منطق التفريغ محفوظ ضمن مشروع POSTMinidump، لا تتردد في استخدامه لمشاريعك الخاصة.

مثل NanoDump، يمكنك تشفير التفريغ أو استخدام توقيع غير صالح له.

استخدام برنامج تشغيل ProcExp مدعوم لتفريغ/قتل العمليات المحمية.

الاستخدام

تفريغ LSASS:

c:\Temp>PostDump.exe --help

"[PPL DISABLED]\n" +
"--snap - Use snapshot technic\n" +
"--fork - Use fork technic [default]\n" +
"--duplicate-elevate - Look for existing lsass handle to duplicate and elevate\n" +
"--elevate-handle - Open a handle with low privileges and duplicate it to gain higher privileges (default: true)\n" +
"--asr - Attempt dump using ASR bypass (no signature/encrypt available, .dmp file written on disk)\n" +

"[PPL ENABLED]\n" +
"--duplicate-elevate - Look for existing lsass handle to duplicate and elevate\n" +
"--werfaultsecure - Attempt dump using vulnerable werfaultsecure to dump PPL process\n" +
"--driver, -d - Use Process Explorer driver to open lsass handle and dump lsass\n" +
"--kill, -k [processID] - Use Process Explorer driver to kill process and exit\n" +

"[GLOBAL]\n" +
"--help, -h - Display help\n" +
"--encrypt, -e - Encrypt dump in-memory\n" +
"--signature, -s - Generate invalid Minidump signature\n" +
"--live - Parse creds from memory without writing into file on disk\n" +
"--parse-dump - Parse creds from dump file\n" +
"--outfile, -o - Output file where to write dump\n" +

التهرب

• استخدام استدعاء النظام غير المباشر مع تقنية gate الخاصة بـ halo لاسترداد معرفات استدعاءات النظام
• لا يتم إجراء استدعاء تخصيص/حماية للذاكرة لاستدعاء النظام غير المباشر، بدلاً من ذلك، يتم استخدام codecave من نوع RWX مجاني موجود في العملية الحالية
• تصحيح ETW
• لا استدعاء لـ MiniDumpWriteDump
• تحليل بيانات اعتماد lsass المباشر (بدون كتابة تفريغ)

أفكار للتحسين

• تنفيذ المزيد من تقنيات التفريغ (seclogon, PPLMedic, Shtinkering ..)
• المزيد من تقنيات التهرب (تزوير مكدس الاستدعاء)
• تنفيذ Godfault لتجنب استخدام برنامج التشغيل

التجميع

• يمكنك البناء باستخدام .NET Framework 4.5.1 كما هو.
• اعتمادًا على إصدار CLR المثبت على النظام الذي تنفذ فيه PostDump، قد تحتاج إلى التخفيض إلى .NET 3.5 مزيد من المعلومات هنا

الرعاة

أعمل في POST Luxembourg وأشكرهم على تخصيص بعض الوقت لي لتطوير وصيانة هذا المشروع! زر موقع POST على https://www.post.lu/business/produits-et-services/cyberforce.

الاعتمادات

• s4ntiago_p على أداة NanoDump الرائعة
• Yaxser (برنامج تشغيل procexp)
• SECFORCE للعثور على codecave من نوع RWX
• 0xAbdullah على تقنية ASR
• cube0x0 على مكتبة Minidump لتحليل lsass

إخلاء مسؤولية

تم إنشاء هذا البرنامج لأغراض البحث الأكاديمي وتطوير تقنيات دفاعية فعالة فقط، وليس المقصود استخدامه لمهاجمة الأنظمة إلا إذا تم التصريح بذلك صراحة. القائمون على المشروع ليسوا مسؤولين عن سوء استخدام البرنامج. استخدمه بمسؤولية.