RunAsPPL的对抗

启用LSA进程的保护

LSA 保护又名 RunAsPPL

这里直接引用官网的官方文档：https://docs.microsoft.com/en-us/windowsserver/security/credentials-protection-and-management/configuringadditional-lsa-protection#to-disable-lsa-protection

开启RunAsPPL 一般有两种方法

1.在单台计算机上启用 LSA 保护

1. 打开注册表编辑器 (RegEdit.exe)，然后导航到位于以下位置的注册表项：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa。

2. 将注册表项的值设置为：“RunAsPPL”=dword:00000001。

3. 重新启动计算机。

2.使用组策略启用 LSA 保护

1. 打开组策略管理控制台 (GPMC)。

2. 创建在域级别链接或链接到包含您的计算机帐户的组织单位的新 GPO。或者，您可以选择已部署的 GPO。

3. 右键单击 GPO，然后单击编辑以打开组策略管理编辑器。

4. 展开计算机配置，展开首选项，然后展开Windows 设置。

5. 右键单击“注册表”，指向“新建”，然后单击“注册表项”。出现“新建注册表属性”对话框。

6. 在Hive列表中，单击HKEY_LOCAL_MACHINE。

7. 在Key Path列表中，浏览到SYSTEM\CurrentControlSet\Control\Lsa。

8. 在值名称框中，键入RunAsPPL。

9. 在值类型框中，单击REG_DWORD。

10. 在数值数据框中，键入00000001。

11. 单击“确定”。

然后重启

RunAsPPL的作用

开启了RunAsPPL,可以看到就算有debug权限，也无法对lsa进程进行操作

而在minikatz实现的代码上来看，通过调试，错误代码定位到这一段&