LsassReflectDumping 项目安装与配置指南

LsassReflectDumping 项目安装与配置指南

LsassReflectDumping This tool leverages the Process Forking technique using the RtlCreateProcessReflection API to clone the lsass.exe process. Once the clone is created, it utilizes MINIDUMP_CALLBACK_INFORMATION callbacks to generate a memory dump of the cloned process 项目地址: https://gitcode.com/gh_mirrors/ls/LsassReflectDumping

1. 项目基础介绍

LsassReflectDumping 是一个利用进程分叉技术（Process Forking）和 RtlCreateProcessReflection API 来克隆 lsass.exe 进程的开源项目。该项目的主要目的是生成 lsass.exe 进程的内存转储（memory dump），以便进行密码提取等安全研究。项目主要使用 C++ 编程语言开发。

2. 项目使用的关键技术和框架

• 进程分叉技术：通过创建一个新的进程来复制现有进程的状态，从而获取到 lsass.exe 进程的内存信息。
• RtlCreateProcessReflection API：用于创建一个与原始 lsass.exe 进程几乎相同的克隆进程。
• MINIDUMP_CALLBACK_INFORMATION 回调：用于生成克隆进程的内存转储。

3. 项目安装和配置的准备工作及详细步骤

准备工作

• 操作系统：建议使用 Windows 操作系统，因为项目针对的是 Windows 平台的 lsass.exe 进程。
• 编译环境：安装 Visual Studio 或其他支持 C++ 的编译器。
• 开发工具：确保 Git 工具已经安装，用于克隆和操作项目代码。
• 依赖库：确认是否已安装所需的所有依赖库。

安装步骤

1. 克隆项目

   打开命令行工具，执行以下命令克隆项目：

   git clone https://github.com/Offensive-Panda/LsassReflectDumping.git
   

2. 编译项目

   使用 Visual Studio 打开项目，或者使用其他支持 C++ 的编译器。找到项目文件并加载。

   • 如果使用 Visual Studio，可以找到 .sln 文件直接打开。
   • 如果使用其他编译器，需要确保所有源文件和头文件都包含在编译过程中。

3. 编译并运行

   在编译器中编译项目，确保没有编译错误。编译完成后，生成可执行文件。

   • 在 Visual Studio 中，按 F7 或使用“构建”菜单进行编译。
   • 编译成功后，在项目目录的 Debug 或 Release 文件夹中找到生成的可执行文件。

4. 执行程序

   在命令行中导航到可执行文件所在的目录，执行以下命令运行程序：

   ReflectDump.exe
   

5. 解析内存转储文件

   运行程序后，它会生成一个内存转储文件。可以使用 Mimikatz 或 Pypykatz 等工具来解析该文件，提取密码信息。

   • 使用 Mimikatz 解析：

     sekurlsa::minidump [filename]
     sekurlsa::logonpasswords
     

   • 使用 Pypykatz 解析：

     pypykatz lsa minidump [filename]
     

请确保遵循所有相关法律和道德准则，仅在授权的环境中使用此工具进行安全研究。

LsassReflectDumping This tool leverages the Process Forking technique using the RtlCreateProcessReflection API to clone the lsass.exe process. Once the clone is created, it utilizes MINIDUMP_CALLBACK_INFORMATION callbacks to generate a memory dump of the cloned process 项目地址: https://gitcode.com/gh_mirrors/ls/LsassReflectDumping