Skip to content
RDPCacheparser

Glossar

Registry-Schlüssel von Terminal Server Client

Benutzerbezogene Registry-Schlüssel des Remotedesktop-Clients: Servers\<host> mit UsernameHint und Default mit der Liste MRU0 bis MRU9 der letzten Ziele.

In der NTUSER.DAT jedes Benutzers hält der Remotedesktop-Client unter HKCU\Software\Microsoft\Terminal Server Client zwei interessante Schlüssel:

  • Servers\<host>: ein Unterschlüssel pro Ziel, mit UsernameHint, dem dafür verwendeten Benutzernamen;
  • Default: die Werte MRU0 bis MRU9, die zuletzt verwendeten Ziele, die der Client anbietet.

Zusammen zeigen sie, zu welchen Zielen sich ein Konto mit welchem Benutzernamen verbunden hat. Das hilft, den RDP-Bitmap-Cache dieses Kontos bestimmten Hosts zuzuordnen. Siehe RDP-Lateral-Movement: Artefakte auf dem Quellsystem.