combine

用这个超棒的工具检查你的 Windows 本地安全机构（LSA）凭据的安全性。

配套的转储解码器 @ https://github.com/ruggi99/combine-decoder

简介

通过重新改编 safetydump rust 库（非常感谢作者！！！），我已经能够轻松绕过大多数 EDR 设置的所有防御措施，除了 Kaspersky EDR 和 TrendMicro（大约几小时前新增的检测）。

直到一年前，带有自定义回调的 dbghelp!MiniDumpWriteDump 还可用于绕过大多数杀毒软件/EDR 解决方案。

现在，它们中的大多数都能轻松地通过静态或行为方式识别出使用诸如 C++、Delphi 和 C# 等语言编写的程序的系统 API 使用模式。 （不过借助未文档化的 NtOpenProcessEx 也许仍然可行，但那是另一回事了）

如果你有 Go 实现，请给我反馈。我正在进行中，但仍有一些与内存大小相关的 bug。

我怀疑目前仍然没有办法监控 MiniDumpWriteDump 回调，因此针对通过此技术进行凭据转储的所有防护都只能交给机器学习检测了。

用法

GUI

CMD

解密

参考资料

感谢以下资料：

• https://loong716.top/posts/lsass/
• https://www.thehacker.recipes/ad/movement/credentials/dumping/lsass
• https://danielsauder.com/2016/02/06/memdumps-volatility-mimikatz-vms-part-1-mimikatz-lsass-exe-dump/
• https://www.whiteoaksecurity.com/blog/attacks-defenses-dumping-lsass-no-mimikatz/
• https://www.ired.team/offensive-security/credential-access-and-credential-dumping/dumping-credentials-from-lsass.exe-process-memory

许多代码片段来自

• https://github.com/postrequest/safetydump（非常大的帮助！！！谢谢！！！）
• https://github.com/azazelm3dj3d/lsass-dump/blob/main/Dump/Dump.cpp
• https://rastamouse.me/dumping-lsass-with-duplicated-handles/

免责声明

对于任何不当使用此工具的行为，我概不负责。本工具仅用于研究和安全测试目的。

备注

据我所知，针对此子技术的唯一有效缓解措施是 RunAsPPL 和 CredentialGuard，但并非总能启用这些选项。