前言
我们往往通过web得到webshell得时候，功能有限。如果对方开了3389等之类得
我们如果操作？新建用户提管理员？我想说这方式容易给管理员发现。
我们可以利用工具。提取administrator管理员得hash密码文件。然后在线破解。
WCE
使用到得工具是WCE，打开官网拉到最下面能找到下载地址
官网地方：https://www.ampliasecurity.com/
使用方式
英文好得直接移步：https://www.ampliasecurity.com/research/wce12_uba_ampliasecurity_eng.pdf
我是上学没好好学习。看鸟文只能一半靠猜！一半靠翻译。。。
wce的使用说明如下
参数解释:
-l 列出登录的会话和NTLM凭据（默认值）
-s 修改当前登录会话的NTLM凭据 参数：<用户名>:<域名>:<LM哈希>:<NT哈希>
-r 不定期的列出登录的会话和NTLM凭据，如果找到新的会话，那么每5秒重新列出一次
-c 用一个特殊的NTML凭据运行一个新的会话 参数：<cmd>
-e 不定期的列出登录的会话和NTLM凭据，当产生一个登录事件的时候重新列出一次
-o 保存所有的输出到一个文件 参数:<文件名>
-i 指定一个LUID代替使用当前登录会话 参数:<luid>
-d 从登录会话中删除NTLM凭据 参数:<luid>
-a 使用地址 参数: <地址>
-f 强制使用安全模式
-g 生成LM和NT的哈希 参数<密码>
-K 缓存kerberos票据到一个文件（unix和windows wce格式）
-k 从一个文件中读取kerberos票据并插入到windows缓存中
-w 通过摘要式认证缓存一个明文的密码
-v 详细输出
正常来说，我们用得多是上面标红得2个。
>wce.exe -w
>wce.exe -l
如果无法抓取明文，如果抓取NTLM凭据之后。
找在线网站跑一遍在说，或者自己使用hashcat之类软件跑密码
在线解：
https://www.objectif-securite.ch/en/ophcrack.php
https://pmd5.com/
http://tool.geekapp.cn/decrypt.php
https://cmd5.com/