Lsass Shtinkering

Windows Error Reporting सेवा का दुरुपयोग करके LSASS को डंप करने की नई विधि। यह ALPC प्रोटोकॉल के माध्यम से सेवा को एक संदेश भेजता है, ताकि LSASS पर हुए एक अपवाद (exception) की रिपोर्ट की जा सके। इस रिपोर्ट के परिणामस्वरूप सेवा LSASS की मेमोरी को डंप कर देगी।

आवश्यक शर्तें

"HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps" के अंतर्गत रजिस्ट्री मान "DumpType" को 2 पर सेट किया जाना चाहिए।

श्रेय

• Asaf Gilboa

संदर्भ

• https://media.defcon.org/DEF%20CON%2030/DEF%20CON%2030%20presentations/Asaf%20Gilboa%20-%20LSASS%20Shtinkering%20Abusing%20Windows%20Error%20Reporting%20to%20Dump%20LSASS.pdf