Memory Dump利用实例

三好学生 · 2015/09/11 11:04

0x00 前言

---

众所周知，procdump可以获得进程的内存dump文件 最常见的用法如下：

1、使用procdump抓取lsass进程
2、获得LSASS进程内存dump文件
3、用mimikatz解析dump文件
4、获取主机明文密码
复制代码

那么，我们是否可以大胆设想一下，能否使用procdump抓取其他进程内存文件，进而获得内存中的敏感信息呢？

0x01 目标

---

尝试使用procdump获取putty ssh登录的密钥，实现非授权登录目标Linux服务器

0x02 测试环境

---

目标：

操作系统：Win7 x86
进程：
    putty.exe： SSH 客户端
    pageant.exe：PuTTY的SSH认证代理，用这个可以不用每次登录输入口令
复制代码

使用工具：

procdump
windbg 6.3.9600 
复制代码

0x03 环境搭建

---

1、工具下载地址：

Putty工具集：
http://the.earth.li/~sgtatham/putty/latest/x86/putty.zip

windbg 6.3.9600下载地址：
http://download.csdn.net/detail/ytfrdfiw/8182431
复制代码

2、主机环境配置

（1）生成密匙

在目标主机运行puttygen.exe，选择需要的密匙类型和长度，使用默认的SSH2(RSA)，长度设置为1024 点击Save private key 保存公私钥

如图

（2）上传公钥

登录Linux服务器，然后执行如下命令：

$　cd　~
$　mkdir　.ssh
$　chmod　700　.ssh
$　cd　.ssh
$　cat　>　authorized_keys
粘贴公钥
$ chmod 600 authorized_keys
复制代码

如图

（3）导入私钥实现自动登录

运行pageant导入私钥，运行putty.exe自动登录

如图

Tips：

出现PuTTY:server refused our key无法自动登录的解决方法：

<