彻底清除windows局域网共享凭据需四步：①在凭据管理器中删除所有以“”开头的windows凭据；②执行net use * /delete /y并重启workstation服务；③手动清空%localappdata%microsoft ault下子文件夹及hkcusoftwaremicrosoftwindowscredentials注册表项；④禁用wdigest明文缓存（set-itemproperty … uselogoncredential -value 0），最后用cmdkey /list和mimikatz验证无残留。
局域网文件共享凭据管理安全清理方法，是指在Windows系统中彻底清除已缓存的网络登录用户名、密码、目标地址等敏感信息，防止因旧凭据残留导致访问失败、身份冒用或横向渗透风险。这些凭据分散存储在凭据管理器、LSASS内存、Vault加密容器、注册表缓存及SMB会话层，单一操作无法覆盖全部。
清空Windows凭据管理器中的网络条目
这是最直观也最容易遗漏的一步。系统会把每次成功连接的 UNC 路径（如 92.168.1.50、NAS-PROD）连同账号密码一起存进“Windows凭据”列表，哪怕目标设备已重装系统或更换密码，它仍会自动复用旧凭证并静默失败。
按下 Win + R，输入 control keymgr.dll 并回车，直接打开凭据管理器。
点击左侧“Windows 凭据”，右侧列表中查找所有以反斜杠开头的条目——包括 DESKTOP-XXX、92.168.1.100、\NAS-01 等形式，【务必逐个展开确认后再删除，不要跳过“向下箭头”点击操作】。
对每个相关条目，点击右侧“删除”，弹出确认框时点“是”。若条目过多且无法甄别归属，可一次性删除全部以 开头的 Windows 凭据——这不会影响本地账户或网页密码。
强制断开并刷新SMB会话连接
凭据管理器删干净了，但当前活跃的SMB会话可能还在用旧令牌通信，尤其当资源管理器里还开着共享窗口、映射了网络驱动器或后台有服务维持连接时，新凭据不会立即生效。
以管理员身份运行命令提示符：右键“开始”→“Windows Terminal（管理员）”或搜索 cmd → 右键“以管理员身份运行”。
执行：net use * /delete /y。该命令将无提示强制断开所有已建立的网络连接（包括映射盘符、IPC$ 通道、打印机端口等）。
紧接着执行：net stop workstation && net start workstation。重启 Workstation 服务可清空内核级会话缓存，避免“删了凭据却仍能免密访问”的假象。
深度清理注册表与Vault加密凭据
凭据管理器UI只是前端入口，底层数据实际由DPAPI加密后存于注册表和本地Vault目录。普通用户删除操作仅移除UI索引，原始加密blob仍在，一旦被提权工具读取，即可还原明文密码。
方法一：清除Vault凭据容器
打开文件资源管理器，地址栏粘贴：%localappdata%MicrosoftVault → 回车。该路径下每个子文件夹对应一个凭据提供者（如 WindowsLive、WebCred、Generic），【直接全选所有子文件夹 → Shift+Delete 永久删除】。系统下次需要保存新凭据时会自动重建空Vault。
方法二：擦除注册表中凭据元数据
按 Win + R 输入 regedit，导航至：HKEY_CURRENT_USERSoftwareMicrosoftWindowsCredentials
右键该键 → “导出”备份（可选）→ 再右键 → “删除”。此操作清除用户级凭据索引，不影响系统级LSA Secrets。
方法三：禁用WDigest明文缓存（防内存泄露）
若设备曾启用过“将凭据保存为明文”策略（如组策略中配置过 WDigest 开启），需关闭该高危功能：以管理员身份运行 PowerShell，执行：Set-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersWDigest" -Name "UseLogonCredential" -Value 0 -Force
执行后必须重启，否则 LSASS 进程仍保留明文缓存。
验证残留凭据是否真正清零
清理不是目的，确认无残留才是关键。以下三步缺一不可：
第一步：在管理员CMD中运行 cmdkey /list，输出应为空或仅显示本地账户（如 DOMAINAdmin），不出现任何以 开头的网络目标行。
第二步：运行 cmdkey /delete *，该命令会尝试删除所有显式注册的连接凭据，若提示“指定的目标不存在”，说明已无传统凭据残留。
第三步：使用 Mimikatz（仅限授权环境）执行 sekurlsa::logonpasswords，检查输出中是否还有未加密的NTLM哈希或明文密码字段。若有，说明LSASS内存中仍有活动会话未释放，需再次执行 net use * /delete + 服务重启。
