RToolZ

Ein verdeckter Lsass-Dumper - kann den ProcExp152.sys-Treiber ausnutzen, um PPL-Lsass zu dumpen.

Was ist das Besondere daran?

Es werden keine Aufrufe an MiniDump oder irgendwelche dbghelp.lib-Methoden verwendet, der gesamte Dump-Vorgang wird MANUELL vom Dumper durchgeführt, wobei die Dump-Größe durch das Entfernen unnötiger DLLs auf ein Minimum reduziert wird.

Methoden & Verwendung

OmriToolZ verfügt über 3 Methoden, um lsass zu dumpen:

1. Die erste Methode verwendet einfach direkte Syscalls, um ein Handle auf lsass zu erhalten.
2. Bei der zweiten Methode wird ein Handle auf lsass mit den PROCESS_CREATE_PROCESS-Berechtigungen angefordert, ein neuer Prozess im Namen von lsass erstellt und der neue Prozess geforkt, um PROCESS_ALL_ACCESS auf lsass.exe zu erhalten (eine Art Handle-Privilegieneskalation).
3. Die dritte Methode funktioniert nur, wenn der PROCEXP152.sys-TREIBER geladen ist; diese Methode erhält ein HANDLE auf den Treiber und missbraucht es, um ein Handle auf den LSASS.exe-Prozess zu bekommen.
   Dies kann verwendet werden, um die "RunAsPPL"-Lsass-Verteidigung zu umgehen. Führe einfach .\procexp64.exe -accepteula /t VOR der Verwendung der dritten Dump-Methode aus; du kannst den Treiber auch auf jede andere Weise laden, die du möchtest.

Flags:

---

--valid - Dieses Flag wird verwendet, um einen Dump ohne Randomisierung der Signatur zu erzeugen; wenn es nicht verwendet wird, musst du das restore_signature.sh-Skript ausführen.
--write - Gibt den Pfad an, in den der Dump auf der Festplatte geschrieben wird.
-m - Gibt die oben aufgeführten Methoden an.
-p - Die PID von lsass.exe

Danksagungen

1. Ein Teil des Codes wurde aus dem Projekt https://github.com/helpsystems/nanodump übernommen und modifiziert.