Skip to content
RDPCacheparser

Glossaire

Clés de registre Terminal Server Client

Clés de registre par utilisateur du client Bureau à distance : Servers\<host> avec UsernameHint, et Default avec la liste MRU0 à MRU9 des cibles récentes.

Dans le NTUSER.DAT de chaque utilisateur, le client Bureau à distance conserve deux clés intéressantes sous HKCU\Software\Microsoft\Terminal Server Client :

  • Servers\<host> : une sous-clé par cible, avec UsernameHint, le nom d'utilisateur employé pour cette cible ;
  • Default : les valeurs MRU0 à MRU9, les cibles récentes proposées par le client.

Ensemble, elles montrent à quelles cibles un compte s'est connecté et avec quel nom d'utilisateur, ce qui aide à rattacher le cache bitmap RDP de ce compte à des hôtes précis. Voir mouvement latéral RDP : les artefacts du poste source.