---
# System prepended metadata

title: Практическая работа №3 ААА в Windows

---

# Практическая работа №3 ААА в Windows
## Часть 1. Анализ памяти Lsass.exe
Проведём эмуляций различных пользователей на Win10.
Зайдём под учетной записью Ольги. Пароль от учетной записи можно найти в скрипте, создающем пользователей:
![](https://i.imgur.com/1FCLze4.png)
Для этого важно, чтобы контроллер домена, он же dc1, был включен.
![](https://i.imgur.com/JZiPbfB.png)
Обратимся к ресурсам домена:
![](https://i.imgur.com/BKAn1DM.png)
Чтобы это было возможно, сетевое обнаружение должно быть включено:
![](https://i.imgur.com/tYyR2PU.png)
Выйдем из учетной записи Ольги и зайдем как Петр:
![](https://i.imgur.com/FPnULWZ.png)
Запустим командную строку от имени администратора.
Так как Petr не является администратором PC1, введем данные ADMPetr, которые можно посмотреть в скрипте:
![](https://i.imgur.com/Sko78Ua.png)
![](https://i.imgur.com/t5ZlCbY.png)
 Введём команду whoami, чтобы проверить, кто мы:
![](https://i.imgur.com/YQAOSvZ.png)
Теперь запустим диспетчер задач от имени администратора ADMPetr:
![](https://i.imgur.com/SXIgHcD.png)
Откроем подробное представление, перейдём в подробности и найдём процесс lsass.exe:
![](https://i.imgur.com/aLOXZdC.png)
Нажмем ПКМ по процессу lsass.exe и выберем пункт "создать дамп файла":
![](https://i.imgur.com/ymFdFhL.png)
Запомним его расположение.
Теперь используем kali linux, чтобы включить ssh и передать файл. Откроем консоль, повысим привилегии до рута с помощью sudo -i:
![](https://i.imgur.com/ADrtoqu.png)
Включим сервис ssh:
![](https://i.imgur.com/LymCwdV.png)
Вернёмся в Win10 и с помощью командной строки, запущенной от имени ADMPetr передадим файл на kali:
![](https://i.imgur.com/nUAwOK0.png)
192.168.10.9 - адрес kali:
![](https://i.imgur.com/etUD4Iu.png)
Проверим, что на kali файл присутствует:
![](https://i.imgur.com/wo8iQuI.png)
Переключимся в директорию с lsass и скачаем скрипт pypykatz:
![](https://i.imgur.com/GEjrKgy.png)
Перейдём в директорию pypycatz и выполним скрипт, применив его к скачанному ранее дампу:
![](https://i.imgur.com/94pChue.png)
Увидим учетные данные, которые скрипт достал из процесса lsass:
![](https://i.imgur.com/GozabAd.png)
![](https://i.imgur.com/hpjI5sF.png)
Память процесса lsass содержит учетные данные ADMPetr и Petr.

