存储凭据为什么危险
服务器上长期保存的凭据（网络共享、远程桌面、证书口令）是横向移动最直接的素材：攻击者拿到一个普通账号登录进来后，可以直接使用系统里已经存好的凭据去连接其他主机，不需要再破解任何口令。处置思路很朴素，定期盘点、删掉业务不需要的项，把自动化依赖的凭据迁移到托管账号或凭据保险箱。
基本信息
| 加固项 | 凭据留存收敛 |
|---|---|
| 适用平台 | Windows Server 与 Windows 10 及以上 |
| 盘点命令 | cmdkey /list |
| 常见来源 | 共享映射、远程桌面保存、脚本与计划任务 |
| 迁移目标 | 组托管服务账号或凭据管理工具 |
| 风险等级 | 中 |
典型使用场景
- 服务器巡检：定期列出存储凭据并确认每一项的业务必要性
- 离职交接：确认离职人员相关的凭据项已清理
- 事件响应：评估被控主机上可被直接复用的凭据范围
- 自动化改造：把脚本中硬编码的口令迁移到托管账号
- 合规核查：终端与服务器是否存在无主的凭据残留
盘点与清理
盘点与清理
# 列出当前用户保存的凭据
cmdkey /list
# 只列远程桌面相关项
cmdkey /list:TERMSRV/*
# 删除指定项（删除前先确认使用者）
# cmdkey /delete:TERMSRV/server01
# cmdkey /delete:192.168.1.10凭据来源与处置
| 凭据来源 | 典型场景 | 处置建议 |
|---|---|---|
| 网络共享 | 映射盘自动重连 | 改为按需认证，删除长期保存项 |
| 远程桌面 | 终端保存的登录凭据 | 删除并改用受控连接通道 |
| 计划任务与脚本 | 以固定口令运行任务 | 迁移到托管服务账号 |
| 证书口令 | 应用自动加载证书 | 评估改用受控的凭据存储 |
cmdkey 只列当前用户的凭据，多用户服务器要按用户逐一核查，否则漏掉的就是最常用的那一个。
删除凭据会中断依赖它的自动化，先通过事件日志或任务配置定位使用者，再安排变更窗口。
以保存凭据方式运行的命令与计划任务会长期留存口令，应优先迁移到托管账号。