Impacket secretsdump

Zuordnungen basieren auf öffentlichen Reports. Eine gelistete Familie bedeutet, dass mindestens ein Syscall-Eintrag sie nennt; ihr Fehlen impliziert keine Nicht-Verwendung.

3 Syscalls erwähnt

NtOpenKey
Öffnet einen bestehenden Registrierungsschlüssel — Kernel-Einstieg hinter RegOpenKeyEx, genutzt für SAM-, SECURITY- und Persistenz-Hives.
NtOpenKeyEx
Erweiterte Variante von NtOpenKey mit OpenOptions — erforderlich für Symlink-Folgen und Backup-Semantik-Öffnung.
NtUnloadKey
Hängt einen zuvor geladenen Registry-Hive vom Konfigurationsmanager ab.