如何导出Windows远程桌面保存的密码？

Question

如何安全导出Windows远程桌面（RDP）保存的凭据？许多用户在使用远程桌面时选择保存密码，系统会通过CredSSP将凭据加密存储于Windows凭证管理器中。由于这些密码受DPAPI保护，无法直接查看明文。常见问题是如何通过合法手段导出这些已保存的RDP密码，例如用于迁移配置或恢复遗忘的凭据。尽管可借助PowerShell脚本调用CredRead API读取凭据，或使用第三方工具如Mimikatz提取内存中的凭据，但存在安全风险与合规问题。因此，如何在保证系统安全的前提下，实现已保存RDP密码的导出，成为系统管理员关注的技术难点。

Answer 1

一、RDP凭据存储机制解析

Windows远程桌面（RDP）在用户选择“保存凭据”时，会将用户名和密码通过CredSSP协议加密后存储于系统凭证管理器中。这些凭据由Windows Data Protection API（DPAPI）进行保护，其加密密钥与用户登录SID及主密码绑定，确保即使文件被复制也无法在其他系统上解密。

具体而言，RDP保存的凭据通常以“TERMSRV/目标主机”形式出现在Windows凭证管理器中，类型为“普通凭据”。这些数据存储在以下路径：

%AppData%\Microsoft\Credentials\
%AppData%\Microsoft\Protect\

其中，Credentials目录存放加密后的凭据数据，而Protect目录包含DPAPI密钥（Master Key），需使用用户登录会话解密。

由于DPAPI的设计原则是“仅当前用户可解密”，因此直接读取文件无法获取明文密码，必须在用户已登录上下文中调用系统API进行解密。

这种机制保障了本地存储的安全性，但也给系统管理员在迁移或恢复场景下带来了挑战。

理解这一底层机制是实现安全导出的前提。

DPAPI的双层保护结构如下表所示：

层级	组件	作用	依赖条件
1	DPAPI Master Key	用于加密用户凭据	用户登录密码派生密钥
2	CredSSP封装	绑定服务类型与目标	会话完整性校验

二、常见技术问题与风险分析

在实际运维中，常遇到以下典型问题：

• 用户离职后遗留RDP配置，密码遗忘，无法连接关键服务器
• 批量迁移工作站时需同步远程桌面凭据
• 审计需求要求提取历史连接记录及认证信息
• 第三方工具如Mimikatz虽可提取内存中的凭据，但触发EDR告警且违反最小权限原则
• PowerShell脚本调用未签名API可能被AMSI拦截

这些问题背后隐藏着合规与安全的矛盾：一方面需要恢复业务连续性，另一方面必须避免引入横向移动风险。

例如，Mimikatz通过sekurlsa::logonpasswords提取LSASS内存中的明文凭据，虽技术可行，但属于高危操作，易被归类为恶意行为。

此外，离线提取Master Key需SYSTEM权限并模拟用户上下文，若处理不当可能导致凭证泄露。

因此，任何解决方案必须满足：不脱离用户上下文、不触发安全监控、符合最小权限模型。

以下是常见方法的风险对比：

方法	是否需管理员权限	是否暴露明文	是否合规	适用场景
凭证管理器GUI	否	否	合规	查看但无法导出
Mimikatz	是	是	高风险	应急取证
PowerShell + CredRead	否	是	可控	自动化恢复
组策略重定向	是	否	合规	集中管理

三、合法导出方案的技术实现路径

基于Windows原生API，可通过调用CredRead函数从凭证管理器中读取已保存的RDP凭据。该方法运行在用户上下文中，无需提权，符合安全边界。

以下为使用PowerShell调用AdvApi32.dll中CredReadA的示例代码：

 Add-Type -TypeDefinition @"
using System;
using System.Runtime.InteropServices;
using System.Text;

public struct CREDENTIAL {
    public uint Flags;
    public uint Type;
    public uint TargetNamePtr;
    public uint CommentPtr;
    public long LastWritten;
    public uint CredentialBlobSize;
    public uint CredentialBlobPtr;
    public uint Persist;
    public uint AttributeCount;
    public uint AttributesPtr;
    public uint TargetAliasPtr;
    public uint UserNamePtr;
}

[DllImport("advapi32.dll", SetLastError = true)]
public static extern bool CredRead(
    string Target,
    uint Type,
    int ReservedFlags,
    out IntPtr Credential
);
"@ 

$target = "TERMSRV/server01.domain.com"
$res = [CredRead]::CredRead($target, 2, 0, [ref]$credPtr)
if ($res) {
    $cred = Marshal.PtrToStructure($credPtr, [type][CREDENTIAL])
    $blobPtr = $cred.CredentialBlobPtr
    $data = New-Object byte[] $cred.CredentialBlobSize
    Marshal.Copy($blobPtr, $data, 0, $cred.CredentialBlobSize)
    $password = [Text.Encoding]::Unicode.GetString($data)
    Write-Output "Password: $password"
}

上述脚本可在用户登录会话中安全执行，仅能读取当前用户的凭据，且不涉及内存dump等高风险操作。

为提升可维护性，建议封装为模块化脚本，并结合日志审计机制记录调用行为。

此外，可通过WMI查询注册表中HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers\下的连接记录，辅助定位目标主机。

四、安全增强与最佳实践流程图

为防止滥用，应实施以下控制措施：

• 限制脚本执行权限至特定管理员组
• 启用 PowerShell 日志记录（Module Logging + Script Block Logging）
• 结合JEA（Just Enough Administration）创建约束式终端
• 导出结果自动加密并上传至安全 vault

完整流程如下所示：

graph TD
    A[用户发起凭据导出请求] --> B{权限验证}
    B -->|通过| C[加载CredRead API]
    B -->|拒绝| D[记录审计日志并退出]
    C --> E[枚举TERMSRV类型凭据]
    E --> F[逐项调用CredRead读取]
    F --> G[使用DPAPI解密Blob]
    G --> H[输出明文密码至加密通道]
    H --> I[清除内存中的敏感数据]
    I --> J[生成操作审计报告]

该流程确保每一步均有审计追踪，且敏感数据不在磁盘持久化。

对于大规模环境，建议采用Intune或SCCM推送签名脚本，在受控条件下批量处理。

同时，应定期审查凭证管理器中的条目，清理过期连接，降低攻击面。