# Практическая работа №6. Базовые атаки и компрометация доменной Windows-инфраструктуры

## Задание:

1) Провести анализ базы NTDS
2) Выполнить атаку “Path-the-hash”
3) Реализовать атаки на базовые протоколы Windows
4) Провести эксплуатацию уязвимостей контроллера домена
5) Найти следы эксплуатации уязвимостей

## Решение:

### 1) Проведем анализ базы NTDS:

Сделаем копию NTDS с необходимыми ветками реестра в директорию C:\temp (на dc1):

Скопируем файлы на Kali:

Для анализа дампа скачаем impacket:

### 2) Выполним атаку “Path-the-hash”:

Запустим утилиту smbexec, для удаленной передачи команд на cmd windows:

Включим удалённый доступ по RDP на dc1:

Изменим параметр реестра на dc1:

Попробуем зайти к admpetr:

После чего xfreerdp спокойно пускает нас с помощью хеша:

### 3) Реализуем атаки на базовые протоколы Windows (NBT-NS & LLMNR & mDNS):

Запустим анализ Responder, а на pc1 попытаемся обратиться к несуществующему сетевому ресурсу:

Анализатор видит LLNMR, NBNS запросы:

Перейдем в режим атаки:

Responder притворяется этим ресурсом, поэтому видим окно аутентификации:

Responder перехватывает аутентификационный токен:

Выполним атаку mitm6:

В результате настройки сетевого адаптера pc1 изменились:

Создадим свой сервер SMB, А на Win10 попробуем зайти на наш домен:

Увидим данные аутентификации в выводе программы:

### 4) Проведем эксплуатацию уязвимостей контроллера домена:

Активируем политику аудита машинных учетных записей и применим к контроллерам домена:

Скачаем zerologon:

Введем скрипт, чтобы обнулить пароль машинной учетной записи контроллера домена:

Получим хеши учетных данных:

Теперь можем выполнять команды от любого пользователя:

### 5) Найдем следы эксплуатации уязвимостей:

Проверим журнал System, увидим ошибку Netlogon:

Проанализируем событие 4742:

Событие 5823 всё же произошло раньше чем 4742:

Так же можно увидеть данные выгрузки дампа NTDS в журнале Direcrory Service:

### Работу выполнила Шпанагель Дарья