nanodump

NanoDump

一个灵活的工具,可创建 LSASS 进程的 minidump。

目录

1. 使用
2. 功能
3. 组合技术
4. 示例
5. HTTPS 重定向器

1. 使用方法

``` … ```

克隆

```bash git clone https://github.com/fortra/nanodump.git ```

编译（可选）

在使用 MinGW 的 Linux 上 ```bash make -f Makefile.mingw ``` 在使用 MSVC 的 Windows 上 (不支持 BOF) ```bash nmake -f Makefile.msvc ```

导入 (仅限 CobaltStrike)

在 Cobalt Strike 上导入 `NanoDump.cna` 脚本。

运行

运行 nanodump 命令在 Beacon 控制台或 nanodump.x64.exe 二进制文件中。

为了避免使用 PROCESS_VM_READ 打开 LSASS 句柄,您可以使用 --fork 参数。 这将使 nanodump 使用 PROCESS_CREATE_PROCESS 访问权限为 LSASS 创建一个句柄,然后创建该进程的"克隆"。 这个新进程将被转储。 虽然这会导致进程创建和删除,但却消除了直接读取 LSASS 的必要。

与 --fork 选项类似，您可以使用 --snapshot 创建 LSASS 进程的快照。 这将使 nanodump 使用 PROCESS_CREATE_PROCESS 访问权限为 LSASS 创建一个句柄，然后使用 PssNtCaptureSnapshot 创建进程的快照。 然后，这个新进程将被转储。 快照在完成后将自动被释放。