leeand00 Asked: 2019-12-03 20:18:06 +0800 CST2019-12-03 20:18:06 +0800 CST 2019-12-03 20:18:06 +0800 CST 获取正在运行的进程的网络凭据？ 772 如果 Windows 程序使用 '/netonly' 参数以 'runas' 运行，是否有任何方法可以查看它正在为网络使用哪些凭据？类似于您在任务管理器、“任务列表”或 Get-Process 中看到某个用户正在运行进程的方式？ windows 1 个回答 Voted Best Answer Daniel 2019-12-06T09:40:57+08:002019-12-06T09:40:57+08:00 以任何具有管理权限的用户身份执行以下操作。自然，这仅在已开始的进程runas /netonly访问网络资源之后才有效。 打开具有提升权限的命令行（以管理员身份运行）并输入klist sessions. 搜索它所说的会话Negotiate:NewCredentials（来自/netonly开关 ➜ 登录类型 9）并且包含执行runas命令的用户名。 请注意会话 ID，例如0x154f7a8。 输入命令klist -li 0x154f7a8。这将显示此会话的所有 kerberos 票证。kerberos 票证被授予用于该runas /netonly命令的用户帐户。如果该命令没有返回任何票证，则该进程尚未访问网络资源，因此还没有收到票证。在这种情况下，我认为您唯一的机会是使用mimikatz之类的东西从内存中读取缓存的凭据。
以任何具有管理权限的用户身份执行以下操作。自然，这仅在已开始的进程
runas /netonly访问网络资源之后才有效。klist sessions.Negotiate:NewCredentials（来自/netonly开关 ➜ 登录类型 9）并且包含执行runas命令的用户名。klist -li 0x154f7a8。这将显示此会话的所有 kerberos 票证。kerberos 票证被授予用于该runas /netonly命令的用户帐户。如果该命令没有返回任何票证，则该进程尚未访问网络资源，因此还没有收到票证。在这种情况下，我认为您唯一的机会是使用mimikatz之类的东西从内存中读取缓存的凭据。