# Занятие 6. Базовые атаки и компрометация доменной Windows-инфраструктуры
# ***Практика №6.1 Базовые атаки на Windows-инфраструктуру.***

**Этап 1. Анализ базы NTDS**

*1.1 Бэкап NTDS*

С помощью стандартных средств Windows для работы с NTDS создадим копию нашего NTDS с необходимыми ветками реестра

*1.2 Перенос NTDS*

Пересылка нашей копии NTDS по протоколу SMB с сервера dc1-en на Kali Linux

*1.3 Анализ NTDS*

Устанавливаем impacket
Выполняем скрипт, который проанализирует дамп и выдаст информацию о структуре базы аутентификационых данных для объектов домена

**Этап 2. Path-the-hash**

*2.1 Crackmapexec*

Пример использовани Crackmapexec для запуска cmd на удаленном компьютере

*2.2 XFreeRDP*

Даем возможность удаленного доступа для пользователей из группы Domain Admins

Попытка входа по RDP на сервер dc1-en - ошибка
Политика ограничения запрещает использовать RDP на сервере

Выключаем политику и пробуем подключится по RDP снова

Успешная попытка подключения по RDP к серверу dc1-en из под Kali Linux

Т.к. включена политика аудита PowerShell, то в журнале безопасности отобразится соответсвующая нашей команде запись

**Этап 3. Атаки на базовые протоколы Windows**

*3.1 Responder*

Запускаем Responder

Специально заходим на несуществующий сетевой ресурс, чтобы протестировать работу Responder

Responder видит LLNMR и NBNS запросы

*Режим атаки*

Запускаем Responder с параметром отправления WPAD и попыткой принудительного понижения протокола аутентификации

Снова пытаемся подключится по несуществующему сетевому пути
Responder притворяется данным ресурсом

Responder перехватывает аутентификационный токен

*3.2 mitm6*

Атака имитирует DHCPv6 сервер, поэтому проверяем исходные параметры сети в Win10pro-ru

*Режим атаки*

Запускаем команду для атаки на выбранный домен

В результате атаки DHCPv6 адрес изменился, обеспечив mitm
Чтобы атака прошла незаметно для пользователя, нужно прикинуться ресурсом, который требует аутентификацию

Например, создадим ложный сервер SMB (не отключая mitm6)

Проверяем наличие созданной ложной папки - успешно

Украденные данные аутентификации в выводе программы

# ***Практика №6.2 Компрометация доменной Windows-инфраструктуры***

**Часть 1. Подготовка**

Активируем политику аудита машинных учетных записей и применим к КД

**Часть 2. Эксплуатация уязвимостей контроллера домена**

Скачиваем скрипт для эксплуатации уязвимости ([github.com/dirkjanm](https://github.com/dirkjanm/CVE-2020-1472))
Запускаем скрипт для атаки на нужный нам сервер dc1-en - успешная атака

Собираем дамп NTDS с помощью secretdump (часть impacket), в аргументе скрипта от dirkjanm можно использовать или хеш пустого пороля (нуля) или параметр -no-pass

Проверяем, что дамп актуальный, посылав SMB запрос - успех!

**Часть 3. Поиск следов эксплуатации уязвимостей**

Проверим журнал System, увидим ошибку Netlogon

//
*Событие с идентификатором 4742 в журнале Security не появилось
Возможно из-за другой структуры выполнения эксплойта*
//

При дампе NTDS можно увидеть данные выгрузки в журнале Direcrory Service
В моем случае на это указывает сообщение о приостановке теневого копирования NTDS