Dumpert,一个使用直接系统调用和API解除连接的LSASS内存转储器
最近的恶意软件研究表明,使用直接系统调用来逃避安全产品使用的用户模式API挂钩的恶意软件数量有所增加。 这些工具演示了直接系统调用和API取消的使用,并将这些技术结合在概念验证代码中,该代码可用于使用Cobalt Strike创建LSASS内存转储,同时不触及磁盘并避开AV / EDR监控的用户模式API调用。
代码包含两个版本:
可执行版本和 DLL 版本,DLL 版本可通过如下命令来运行:
rundll32.exe C:\Dumpert\Outflank-Dumpert.dll,Dump
同时还提供了 sRDI 版本,包含一个 Cobalt Strike 攻击者脚本。此脚本使用shinject将dumpert DLL的sRDI shellcode版本注入当前进程。 然后它等待几秒钟让lsass minidump完成并最终从受害者主机下载minidump文件。
编译指引:
This project is written in C and assembly.
You can use Visual Studio to compile it from source.
sRDI 代码: https://github.com/monoxgas/sRDI
问题内容: 读取/ proc / $ PID / maps时,将获得映射的内存区域。这是甩掉其中一个地区的方法吗? 谢谢 问题答案: 不!打电话与。然后打开,寻找区域偏移量,然后按照中给出的那样读取区域的长度。 这是我编写的在C语言中执行的程序。这是我编写的在Python(以及ptrace绑定)中执行的模块。最后,将程序的所有区域转储到files的程序。 请享用!
我并不了解Java特别是Java调试,但在Jenkins中使用Monitoring进行堆转储,然后在Eclipse中使用MAT对其进行解码,显示总内存使用量为169.4MB,而在Jenkins中Monitoring似乎经常使用内存,GCs也经常运行。-XMX是4G。 为什么我只有169.4MB的mat?可能是因为在进行转储之前,Jenkins执行了GC吗?如果是,我是否可以避免它以看到完整的内存转
问题内容: 我有Java应用程序,不幸的是,它在一段时间后开始消耗大量内存。使事情复杂化的是,它不仅是Java应用程序,还是JavaFX 2应用程序。 我怀疑可能存在一些内存泄漏,甚至在底层JavaFX调用和本机库中也是如此。 理想的解决方案是在某个时刻获取所有java对象的转储(及其内存使用情况),然后分析该转储。有什么办法可以做到这一点? 问题答案: 有很多方法可以获取堆转储,从简单的工具(例
我有一个非常奇怪的问题。我有一个30 GB的堆转储,我想在我的笔记本电脑上分析相同的(它有8 GB的内存)。我试着用MAT和IBM堆分析器这样做,但是根据他们的建议,Xmx大小应该超过转储大小。我也试着用MAT的文件分析堆转储,但是收到内存错误。 关于如何成功分析笔记本电脑上的垃圾,有什么建议吗? 提前谢谢!
我正在开发 spark 1.3,我的应用程序是一个 spark 流应用程序。我使用纱线作为资源经理。我的应用程序运行正常几天,然后 spark 作业定期丢失执行程序。当我查看node_manager日志时,我发现了一个异常: 我对这一例外的问题如下: > 我知道11G会运行执行程序的内存。但是我在spark-defaults.conf.中将10G设置为执行程序内存。那么11G是如何分配给执行程序的
问题内容: 我存储了1.11亿个键值对(一个键可以有多个值-最多2/3),它们的键是50位整数,值是32位(最大)整数。现在,我的要求是: 快速插入(键,值)对[允许重复] 基于键快速检索一个或多个值。 这里基于MultiMap给出了一个很好的解决方案。但是,我想在主内存中存储更多键/值对,而不会降低性能。我从网络文章中研究到B +树,R+树,B树,紧凑多图等可以是一个很好的解决方案。有谁能够帮我
主要内容:程序员的幽默计算机要处理的信息是多种多样的,如数字、文字、符号、图形、音频、视频等,这些信息在人们的眼里是不同的。但对于计算机来说,它们在内存中都是一样的,都是以二进制的形式来表示。 要想学习编程,就必须了解二进制,它是计算机处理数据的基础。 内存条是一个非常精密的部件,包含了上亿个电子元器件,它们很小,达到了纳米级别。这些元器件,实际上就是电路;电路的电压会变化,要么是 0V,要么是 5V,只有这两种电压。
64 位 After Effects 中的内存 (RAM) 使用 “内存和多重处理”首选项 设置内存和多重处理首选项,方法为选择“编辑”>“首选项”>“内存”(Windows) 或“After Effects”>“首选项”>“内存”(Mac OS)。 当您在“内存和多重处理”对话框中修改设置时,After Effects 将在对话框中动态更新帮助文本,报告它将如何分配和使用内存与 CPU。 无论是