alphasec academy

rundll32.exe c:\windows\system32\comsvcs.dll MiniDump 555 555.dmp full - zapisz zrzut pamięci procesu o ID 555

Dodatkowe informacje

Biblioteka DLL c:\windows\system32\comsvcs.dll posiada ciekawą funkcję MiniDump, która jest jednym ze sposobów na stworzenie minidumpa procesu. Nie trudno wymyślić, że niegłupim pomysłem byłoby zrobienie zrzuci pamięci procesu lsass.exe w celu wyciągnięcia credentiali użytkowników, co nawet miało niedawno miejsce.

Przykładowe użycie

Ale nie tylko zawartość pamięci procesu lsass.exe może być ciekawa. Jako demonstrację zapiszmy pamięć procesu notatnika, a następnie wykorzystując strings.exe (aptm.in/protip/002a) oraz Select-String (aptm.in/protip/002b) poszukajmy haseł.

Przydatne linki


Subskrybuj

Jeśli chcesz otrzymywać nowe, mięsiste protipy na maila, a także zostać czasem powiadomiony o wartościowych wydarzeniach - dołącz do subskrybentów.