远程分析物理内存实现LSASS进程MiniDump创建工具Physmem2profit源码下载

【实例简介】
Physmem2profit是一个先进的工具，它允许用户通过远程分析目标主机的物理内存来创建目标主机LSASS（本地安全权限分配系统）进程的MiniDump文件。这项研究的目的是提出一种替代的凭证盗窃方法，并创建一个可扩展支持其他可以访问物理内存的驱动程序的模块化框架。生成的MiniDump文件可以进一步使用Mimikatz进行分析。该工具不需要Cobalt Strike，但可以通过SOCKS代理在信标上正常工作。

Physmem2profit包含两个组件：
1. 目标主机上执行的C#服务器组件physmem2profit.exe，加载Winpmem驱动程序并作为服务器，通过TCP端口暴露目标主机的物理RAM。
2. 攻击机上执行的客户端，physmem2profit Python模块，当使用--mode mount执行时，连接到目标机器并借助FUSE将目标的物理RAM作为原始文件挂载；当使用--mode dump执行时，调用各种Rekall插件来分析内存映像并生成LSASS进程的minidump；当使用--mode all执行时，执行上述两个动作。当dump完成时，与服务器的连接将关闭。

使用说明：
在目标主机上以管理员身份运行physmem2profit.exe [--ip IP] [-p PORT] [--hidden] [--verbose]。
在攻击机上运行source physmem2profit/client/.env/bin/activate来激活由install.sh创建的虚拟环境。
接着运行cd physmem2profit/client和python3 physmem2profit --host HOST [--port PORT] [--mode MODE] [--driver DRIVER ] [--instal DRIVER_PATH_ON_TARGET] [--label LABEL_FOR_MEMORY_DUMP]。

这将在攻击机上生成LSASS minidump文件至output/[label]-[date]-lsass.dmp。

复制minidump文件到Windows系统上，运行mimikatz.exe "sekurlsa::minidump [label]-[date]-lsass.dmp" "sekurlsa::logonpasswords" "exit"来分析凭证。

Physmem2profit支持从VMware Fusion/Workstation快照(.vmem文件)中检索受Credential Guard保护的凭证的加密密钥，从而帮助解密。
【实例截图】
【核心代码】
文件清单
└── physmem2profit-2f64133bd9931303b8ae47630835e96347e0f294
    ├── client
    │   ├── install.sh
    │   ├── physmem2profit
    │   │   ├── fsminidump
    │   │   │   ├── definitions.py
    │   │   │   ├── __init__.py
    │   │   │   └── minidump.py
    │   │   ├── __init__.py
    │   │   ├── __main__.py
    │   │   ├── mount.py
    │   │   └── physmem2minidump.py
    │   ├── rekall
    │   └── requirements.txt
    ├── docs
    │   └── physmemlayout.png
    ├── LICENSE.txt
    ├── README.md
    └── server
        ├── App.config
        ├── Core
        │   ├── DriverService.cs
        │   ├── ICommandReceiver.cs
        │   ├── Physerver.cs
        │   └── Program.cs
        ├── Physmem2profit.csproj
        ├── Physmem2profit.sln
        ├── Plugins
        │   └── WinPmem.cs
        ├── Properties
        │   └── AssemblyInfo.cs
        └── README.md

10 directories, 22 files