blindsight

“根本不存在什么适者生存。
或许只是最合适者生存。
解决方案是否最优并不重要。
重要的是它能否胜过替代方案。”

—— 彼得·沃茨，《盲视》（2006）

用于转储 LSASS 内存、绕过基本防护措施的红队工具。它利用事务性 NTFS（TxF API）透明地打乱内存转储内容，以避免触发 AV/EDR/XDR。

文章

• https://hnsecurity.it/blog/an-offensive-rust-encore

另请参阅

• https://attack.mitre.org/techniques/T1003/001/
• https://www.synacktiv.com/en/publications/windows-secrets-extraction-a-summary
• https://www.ired.team/offensive-security/credential-access-and-credential-dumping
• https://github.com/fortra/nanodump
• https://github.com/w1u0u1/minidump
• https://github.com/anthemtotheego/CredBandit
• https://github.com/joaoviictorti/RustRedOps
• https://github.com/Kudaes/Dumpy

交叉编译（macOS 示例）

$ brew install mingw-w64
$ rustup target add x86_64-pc-windows-gnu
$ cargo build --release --target x86_64-pc-windows-gnu

用法

在管理员 PowerShell 窗口中：

C:\> .\blindsight.exe [dump | file_to_unscramble.log]

示例

转储 LSASS 内存：

C:\> .\blindsight.exe

解扰内存转储：

C:\> .\blindsight.exe 29ABE9Hy.log

已在以下环境测试

• Microsoft Windows 10 (x64)
• Microsoft Windows 11 (x64)
• Microsoft Windows 11 (ARM64)
• Microsoft Windows Server 2016 (x64)
• Microsoft Windows Server 2019 (x64)
• Microsoft Windows Server 2022 (x64)

[!CAUTION] 不要在生产服务器上测试，因为访问 LSASS 可能会导致系统不稳定！

待办事项

• 优化内存使用（是否可直接破坏“魔数”字节而不用异或运算？）
• 使用 litcrypt2 或类似工具在本地加密字符串
• 允许手动指定 LSASS PID，以避免嘈杂的进程扫描
• 避免直接打开 LSASS 句柄（例如，通过 PssCaptureSnapshot）
• 使用 https://github.com/Kudaes/DInvoke_rs 或类似方案以规避 API 钩子
• https://splintercod3.blogspot.com/p/the-hidden-side-of-seclogon-part-3.html
• 实现无文件外传渠道（例如，TFTP、FTP、HTTP...）
• 考虑使用 minidump 回调而非 TxF API 将转储写入内存
• https://adepts.of0x.cc/hookson-hootoff/
• 如果极简的命令行处理不够用，考虑更完善的命令行解析