可绕过EDR和PPL保护内存转储工具

jiangmingzi

YOLOP0wn Hack分享吧 2023-09-26 08:30 发表于湖南

工具简介

POSTDump是ReactOS minidump函数（如nanodump）的C#/.NET实现，从而避免调用Windows API MiniDumpWriteDump函数，它使用几种技术绕过EDR Hook和PPI保护来执行内存转储（lsass）。

[color=rgba(0, 0, 0, 0.9)]例如NanoDump，您可以对小型转储进行加密或使用无效签名；支持使用ProcExp驱动程序转储/终止受保护的进程。

工具参数

1. c:\Temp>PostDump.exe --help
   
2. 
   
3. -o, --output        Output filename [default: Machine_datetime.dmp] (fullpath handled)
   
4. -e, --encrypt       Encrypt dump in-memory
   
5. -s, --signature     Generate invalid Minidump signature
   
6. --snap              Use snapshot technic
   
7. --fork              Use fork technic [default]
   
8. --elevate-handle    Open a handle to LSASS with low privileges and duplicate it to gain higher privileges
   
9. --duplicate-elevate Look for existing lsass handle to duplicate and elevate
   
10. --asr               Attempt LSASS dump using ASR bypass (win10/11/2019) (no signature/no encrypt)
    
11. --driver            Use Process Explorer driver to open lsass handle (bypass PPL) and dump lsass
    
12. --kill [processID]  Use Process Explorer driver to kill process and exit
    
13. --help              Display this help screen.
    
14. --version           Display version information.

复制代码

下载地址



https://github.com/YOLOP0wn/POSTDump