⭕️ در پست های گذشته اشاره ای به مکانیزم PPL و جلوگیری از استخراج LSASS و البته ابزار و تکنیک PPLBLADE کرده شد.،به شرح آن میپردازم.
در ابتدا باید بپرسیم که PPL چیست ؟ Protected Process Light مکانیزمی است که از ویندوز 8.1 به بعد به ویندوز اضافه شده و وظیفه آن اجرا شدن سرویس ها و پروسه های معتبر با signature های داخلی و خارجی معتبر است.
برای دور زدن آن ما با استفاده از درایور ابزار process explorer به نام PROCEXP152.sys
با استفاده از object، PROCESS_ALL_ACCESS میتوانیم PPL را دور بزنیم.
به طوری که با فراخوانی PROCEXP152.sys و استفاده از API هایی اعم از DeviceIoControl و MiniDumpWriteDump
و استفاده از مبهم سازی فایل خروجی گرفته شده با الگوریتم XOR و یا انتقال آن به محلی دیگر تحت RAW و SMB اقدام به انجام این کار میکنیم.
https://tastypepperoni.medium.com/bypassing-defenders-lsass-dump-detection-and-ppl-protection-in-go-7dd85d9a32e6
https://github.com/tastypepperoni/PPLBlade
#RedTeam
@securation
Post #1504
6.77K
