01 前言 去年底的一次红队演练，入口机是台 linux webshell，从配置文件翻到了一个服务账号的明文口令信息，巧合的是可以通过 3389 远连到几台一样的 win 主机，均隶属于管理员组但非 system 权限，这个被加进本地组不是镜像带来的而是人手动做的，推测管理员凭据都是一样但我没明文，在主机的 SAM 里。主机不在域内，进程里有个杂牌的 EDR ，其规则对落地文件和读 SAM 都会有覆盖。当前 EDR 环境下，你是否能做到不依赖 mimikatz、secretsdump、不调用任何现成的 SAM 解析库、不碰活注册表、不硬要提权 NTsystem 来拿 NTLM 。 02 当前场景 1、多台win主机，镜像部署，服务账号凭据，均隶属于管理员组但非 system 权限，无域环境 2、防护为杂牌 EDR 3、可通的网段有多个 4、可访问的端口、服务、文件，未发现可进一步利用的