RToolZ

PPL Lsass をダンプするために ProcExp152.sys ドライバを悪用できる、ステルスな Lsass ダンパー。

何が特別なのか?

MiniDump や dbghelp.lib のメソッドへの呼び出しは一切なく、ダンプ処理はすべてダンパーが手動で行います。不要な DLL を除去することで、ダンプサイズを最小限に抑えます。

メソッドと使い方

OmriToolZ には lsass をダンプする3つのメソッドがあります:

1. 最初のメソッドは、直接システムコールを使用して lsass のハンドルを取得するだけの方法です。
2. 2番目のメソッドでは、PROCESS_CREATE_PROCESS 権限で lsass へのハンドルが要求され、lsass の名前で新しいプロセスを作成し、その新しいプロセスをフォークして lsass.exe への PROCESS_ALL_ACCESS を取得します(一種のハンドル権限昇格です)。
3. 3番目のメソッドは PROCEXP152.sys ドライバが読み込まれている場合にのみ機能します。このメソッドはドライバへのハンドルを取得し、それを悪用して LSASS.exe プロセスへのハンドルを取得します。
   これは "RunAsPPL" の lsass 防御をバイパスするために使用できます。ダンプの3番目のメソッドを使用する 前 に、単に .\procexp64.exe -accepteula /t を実行してください。ドライバは他の任意の方法で読み込むこともできます。

フラグ:

---

--valid - シグネチャをランダム化せずにダンプを生成するために使用されるフラグ。使用しない場合は restore_signature.sh スクリプトを使用する必要があります。
--write - ダンプをディスクに書き出すパスを指定します。
-m - 上記のメソッドを指定します。
-p - lsass.exe の PID

クレジット

1. コードの一部は https://github.com/helpsystems/nanodump プロジェクトから取得・変更されたものです。