参考国外的XPN以及3gstudent大佬的文章:
https://blog.csdn.net/xiangshen1990/article/details/104872566
https://gist.github.com/xpn/93f2b75bf086baf2c388b2ddd50fb5d0
原理:正常的ssp扩展(dll)可以加载到lsass进程中去,比如kerberos验证都是通过加载kerberos.dll(它就是一种ssp)调用sspi来进行验证,所以我们就可以控制加载一个我们自己的dll执行恶意代码从而dump hash,但是杀软肯定会对常规SSP扩展加载进行检测,所以看了xpn的文章,可以通过RPC控制lsass.exe进而加载SSP扩展。
实验过程
首先是一个exe程序,通过rpc来加载SSP,xpn大佬给了三个文件,两个c文件,一个头部文件,就直接在vs里照着编就行了。我这里用的是vs2015,建议新建空项目。