T1552.002: 注册表中的凭据

摘要

攻击者可能在受感染的系统上搜索注册表中不安全存储的凭据。Windows 注册表存储可供系统或其他程序使用的配置信息。攻击者可能查询注册表以查找为其他程序或服务使用而存储的凭据和密码。有时这些凭据用于自动登录。 查找与密码信息相关的注册表键的示例命令：(Citation: Pentestlab Stored Credentials) * 本地机器配置单元：<code>reg query HKLM /f password /t REG_SZ /s</code> * 当前用户配置单元：<code>reg query HKCU /f password /t REG_SZ /s</code>