# Отчет по выполнению Занятия 6. Базовые атаки и компрометация доменной Windows-инфраструктуры.

## Практическая работа 6.

## Задание к практической работе 6.1:

1) Провести анализ базы NTDS:

**1.1) Создадим бэкап NTDS:**

Проверим, что бэкап создался:

**1.2) С помощью SMB зайдём на сервер DC1 с Kali:**

**1.3) Для анализа дампа для начала нужно скачать impacket:**

2) Выполнить атаку “Path-the-hash”:

**2.1) Crackmapexec:**

**2.2) Smbexec:**

**2.3) XFreeRDP:**

Запуск XFreeRDP:
... .... ... ... ... ... ... ... ... ... ... ... ... ...


3) Реализовать атаки на базовые протоколы Windows:

**3.1) Анализ инфраструктуры через responder:**

Залогинимся под УЗ Ольги:

Проверим существование несуществующего сетевого адреса:

Получаем данные в responder (почему-то с pt.network не приходили логи в responder, поэтому взял pt-file, как было в пособии):

Для доступа к pt-file запрашиваются логин и пароль пользователя, ввдем их:

Получаем токены в responder:

3.2) **Проведем атаку mitm6:**

Установим пакет mitm6:

Проверим ipconfig на атакуемой машине (pc1):

Начнем атаку mitm6:

Сновап проверим ipconfig на атакуемой машине (pc1):
Теперь kali в роли dns-сервера.

3.3) **Создание своего сервера SMB. Не отключая mitm6, создадим SMB сервер:**

Запустим smb-сервер:

Создалась сетевая папка в домене pt.local, но контролирует его kali (т.к. kali - dns-сервер):

Получаем токен пользователя:

## Задание к практической работе 6.2:

1) Провести эксплуатацию уязвимостей контроллера домена:

**1.1) Активируем политику аудита машинных учетных записей и применим к контроллерам домена:**

**1.2) Эксплуатация уязвимостей контроллера домена:**

Сначала создадим снапшоты машин до применения zerologon:

Склонируем эксплойт:

Изучим инструкцию по применению:

Запустим эксплойт:

На скриншоте выше видно, что эксплойт отработал успешно.

Используя следующую команду можно получить хеши учетных данных => можно выполнять команды от любого пользователя (я как мог пытался исправить ошибку, но результат не поменялся, поэтому ниже приложу скриншот работы команды, взятый из методического материала):


2) Найти следы эксплуатации уязвимостей:

**2.1) В EventViewer будем искать логи о проделанным нами атаках (поиск будет осуществляться как визуально, так и с помощью фильтров):**

Проверим журнал System, увидим ошибку Netlogon:

Проверим Security, увидим событие 4742 (ANONYMOUS LOGON + password last set -- это значит, что пароль был изменён, но его может менять только NETWORK SERVICE с id=5823):

Найдём событие 5823 в журнале System с помощью фильтра (это легитимное событие, связанное с введением в домен dc2):

Дополнительно: Если происходит дамп NTDS, то можно увидеть данные выгрузки в журнале Direcrory Service: