.NET 一款用于转储指定进程内存的工具

01阅读须知

此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他方面

02基本介绍

在红队活动中，转储进程的内存可以有效地提取用户凭据，特别是像 lsass 这样的关键进程，因为该进程负责处理身份验证和安全令牌。Sharp4ProDump.exe 就是这样一款内网渗透的工具，能够针对指定进程进行内存转储。

03使用方法

Sharp4ProDump.exe 允许用户为指定进程生成内存转储文件。其基本使用方式如下所示。

Sharp4ProDump.exe ProcessName [FILE]

参数FILE为可选的输出文件名，默认为包含所有内存块的文件，其实在转储时也为每个内存区域生成一个文件。需要注意的一点，转储lsass进程需要以管理员身份执行， 而对于用户启动的进程，无需管理员权限，方便红队灵活选择目标。

比如，转储notepad.exe记事本进程时就无需管理员权限，普通权限下的cmd即可运行成功，如下图所示。