KslKatzBOF

一种使用 KslD.sys BYOVD 技术从 C2 进行内联 LSASS 凭据提取的 Beacon 对象文件 (BOF)。

本项目基于以下博文： https://avantguard.io/blog/erfahrungsbericht-ki-gest%C3%BCtzte-bof-entwicklung-im-red-team

致谢

此 BOF 基于 KslKatz (Maximilian Barz)，而 KslKatz 本身又建立在两个基础项目之上：

• KslDump – 通过 KslD.sys (Microsoft Defender 的内核驱动程序) 进行 BYOVD 物理内存访问
• GhostKatz – 基于 BOF 的通过物理内存进行 LSASS 提取

此外，该漏洞的主要来源似乎是 maxkray13 及其项目 Defender

功能说明

从受 PPL 保护的 LSASS 中提取凭据，无需注入进程，仅使用磁盘上已有的经 Microsoft 签名的组件：

• MSV1_0 — 每个登录会话的 NT 哈希
• WDigest — 明文密码（当缓存启用时）

构建

make

生成 bin/kslkatzbof.x64.o。

使用方法

使用您偏好的 BOF 加载器加载 BOF。

免责声明

仅用于授权的安全测试。未经明确许可将此工具用于系统是违法的。