Занятие 6 - Базовые атаки и компрометация доменной Windows-инфраструктуры
Часть 1. Базовые атаки на инфраструктуру Windows

Этап 1. Анализ базы NTDS
1.1 Бэкап NTDS

Этот набор команд активирует процесс Install From Media, позволяющий сделать копию нашего NTDS с необходимыми ветками реестра.
После этого дамп сохранится в папку C:\temp

1.2 Перенос NTDS


Копируем дамп на Linux машинку с помощью SMB

1.3 Анализ NTDS
Далее с пмощью команды приведённой ниже проанализируем дамп

Этап 2. Path-the-hash
2.1 Crackmapexec

Набор питон скриптов для тестирования Windows окружения

Быстрое сканирование сети

Запуск cmd для удалённой передачи команд

2.2 XFreeRDP
С хешем можно зайти даже по RDP.

Но сначала включим доступ по RDP на dc1, доступ дадим администраторам домена

И изменим параметр реестра

Вводим команду и получаем:


Этап 3. Атаки на базовые протоколы Windows
NBT-NS & LLMNR & mDNS

Анализ инфраструктуры через responder

Запускаем анализ Responder

responder -I eth0 -A

Доменный ПК пытается обратиться к несуществующему сетевому ресурсу

Анализатор видит LLNMR, NBNS запросы

Режим атаки:
Responder запускается

Пользователь снова проходит по несуществующему пути
Responder перехватывает аутентификационный токен

mitm6
Установка mitm6:

Настройки сетевого адаптера pc1. Было:

Атака с Kali Linux

Стало:

Создание своего сервера SMB. Не отключая mitm6, создадим SMB сервер:

А на Win10 через проводник попробуем зайти на наш домен

Увидим данные аутентификации в выводе программы

Часть 2 Эксплуатация уязвимостей контроллера домена

Для начала активируем политику аудита машинных учетных записей и применим к контроллерам домена

2.1 Скачам с github репрезиторий с эксплойтами zerologan

2.2 Откроем README

2.3 Используем команду для вызова эксплойта
Скрипт обнулил пароль машинной учетной записи контроллера домена.

2.4 Теперь сдампим NTDS с помощью secretsdump

2.5 С помощью полученных хешей учетных данных можно выполнять команды от любого пользователя

Часть 3. Поиск следов эксплуатации уязвимостей

3.1 Проверим журнал System, увидим ошибку Netlogon

3.2 Проверим Security, увидим событие 4742
Во-первых, ANONYMOUS LOGON -- уже довольно подозрительный факт

Ещё в логе можно увидеть заполненное поле password last set -- это значит, что пароль был изменён. При легитимном взаимодействии пароль на машинной учетной записи может менять только NETWORK SERVICE. И, если это происходит, генерируется ещё одно событие с id 5823

3.3 Найдём событие 5823 в журнале System с помощью фильтра
Событие есть, но оно произошло намного раньше

3.4 Если происходит дамп NTDS, то можно увидеть данные выгрузки в журнале Direcrory Service