Silhouette

作者：Gabriel Landau 和 Mark Mager，来自 Elastic Security。

源自 Hide Your Valuables — Mitigating Physical Credential Dumping Attacks，于 Shmoocon 2023 发表。 幻灯片在此。

将 LSA 机密排除在物理内存之外

Silhouette 是一个 POC，用于缓解利用物理内存从 LSASS 转储凭据的攻击。 它通过以下三种方式实现：

1. 主动将 LSASS 的页面从 RAM 刷新到磁盘。
2. 阻止对启动卷的原始磁盘访问，以防止针对 pagefile.sys 和 hiberfil.sys 的原始复制攻击（例如 Invoke-NinjaCopy）。
3. 在所有卷影复制快照中阻止对 pagefile.sys 的 FILE_READ_DATA 访问，以阻止使用 hobocopy 等工具进行访问。

强烈建议在使用 Silhouette 之前启用 RunAsPPL。

构建和运行

这是一个概念验证。 使用风险自负。

1. 使用 Visual Studio 2019 编译 Silhouette.sln。 需要 WDK。 最初是使用 Win11 21H2 WDK 开发的。
2. 启用测试签名。
3. 注册服务：

sc create Silhouette type= filesys start= demand binpath= %CD%\Silhouette.sys

4. 添加 Minifilter 注册表项：

reg import FilterKeys.reg

5. 启动服务：

sc start Silhouette

许可证

Silhouette 受 ELv2 许可证 保护。 它使用了 SystemInformer 的 phnt，后者基于 MIT 许可证。