VMkatz

VMkatz 是一款用于从虚拟机内存快照（如 .vmsn、.sav）和虚拟磁盘文件（如 .vmdk、.vhdx、.qcow2）中直接提取 Windows 凭据的离线取证与红队工具。它基于 Rust 实现，支持在 ESXi、Proxmox、VirtualBox 等平台的宿主机或存储设备上本地运行，无需传输完整镜像；可提取 LSASS 进程中的 NTLM/SHA1 哈希、Kerberos 票据、DPAPI 主密钥、BitLocker FVEK，以及虚拟磁盘中的 SAM/LSA/Cached Domain Credentials 等敏感数据。适用于红队后渗透阶段在受限带宽或高检测风险环境下快速获取凭证，也适用于安全审计与虚拟化环境离线取证。