---
# System prepended metadata

title: Занятие 6. Базовые атаки и компрометация доменной Windows-инфраструктуры

---

# Занятие 6. Базовые атаки и компрометация доменной Windows-инфраструктуры


## Практическая работа №6.1 Базовые атаки на Windows-инфраструктуру

### 1. Проведен анализ базы NTDS
-  сделан бэкап NTDS:
![](https://i.imgur.com/zvc7cqa.png)

- файл с данными скопирован на Kali:
![](https://i.imgur.com/Qq75aJv.png)

- для анализа дампа скачан и установлен impacket:
![](https://i.imgur.com/KJokvke.png)

- при помощи утилиты secretsdump извлечены из сохраненных данных локальные аккаунты, закешированные учетные записи домена и секретные ключи LSA:
![](https://i.imgur.com/NquUOVY.png)

### 2.1 Проведена атака вида Path-the-hash
- используем набор python-скриптов для тестирования Windows окружения Crackmapexec:

Можно выполнять команды от имени пользователя на удаленной машине посредством командной строки:
![](https://i.imgur.com/18NEVbj.png)
![](https://i.imgur.com/E6C0nJA.png)

С помощью утилиты smbexec из состава impacket, можно запустить cmd windows для удаленной передачи команд:
![](https://i.imgur.com/BuQV9oo.png)

### 2.2 Проверена возможность подключения к серверу по RDP с ипользованием хеша:
- включен удалённый доступ по RDP на DC1 для администраторов домена:
![](https://i.imgur.com/zLYDo0D.png)

заходим на DC1:
![](https://i.imgur.com/BZu1une.png)
![](https://i.imgur.com/GkJ2MwY.png)

меняем параметры режима restricted admin через правку параметра реестра на DC1:
![](https://i.imgur.com/u1Njqsg.png)
![](https://i.imgur.com/Mx5cISO.png)

Благодаря включенной политика аудита команд PowerShell, в журнале можно увидеть выполнение этой команды:
![](https://i.imgur.com/Qz6mcBN.png)

После проведенных настроек, удаленное подключение по RDP с использованием хеша проходит успешно:
![](https://i.imgur.com/CJrrfw1.png)
![](https://i.imgur.com/rV21MoL.png)

### 3. Реализованы атаки на базовые протоколы Windows
- проведен анализ инфраструктуры через responder:
запускаем анализ Responder:
![](https://i.imgur.com/zjOOn6O.png)
![](https://i.imgur.com/g5bO4ry.png)

эмулируем действия доменного пользователя, пытаясь обратиться к несуществующему сетевому ресурсу. Анализатор видит LLNMR, NBNS запросы:
![](https://i.imgur.com/bEBrnqU.png)

запускаем Responder для проведения атаки:
![](https://i.imgur.com/xzAioOs.png)

теперь, когда пользователь снова проходит по несуществующему пути, Responder притворяется этим ресурсом - появляется окно аутентификации, и Responder перехватывает аутентификационный токен:
![](https://i.imgur.com/Asij7Kq.png)

- реализована атака mitm6:
после скачивания и установки запускам mitm6, указав атакуемый домен pt.local:
![](https://i.imgur.com/7iG5PR4.png)

включаем использование протокола Ipv6 на компьютере PC1:
![](https://i.imgur.com/GFoCY1b.png)
![](https://i.imgur.com/6K1sa33.png)

(параметры до:
![](https://i.imgur.com/lUPw17t.png))

создаем свой сервер SMB, требующий аутентификации пользователя для доступа к ресурсам. При попытке доступа к сетевому ресурсу пользователь вводит свои данные для аутентификации, которые успешно перехватываются:
![](https://i.imgur.com/Bxns7o1.png)

## Практическая работа №6.2 Компрометация доменной Windows-инфраструктуры.
- в политике для контроллеров домена "Default Domain Controllers Police" активирована политика аудита машинных учетных записей "Audit Computer Account Management":
![](https://i.imgur.com/ytgBBIN.png)

### Проведена эксплуатация уязвимостей контроллера домена
- на github найден и скачан экплойт для эксплуатации уязвимости zerologon (CVE-2020-1472):
![](https://i.imgur.com/7gvDieK.png)

- используем команду  для вызова эксплойта "cve-2020-1472-exploit.py -n DC1 -t 192.168.10.200":
![](https://i.imgur.com/BrUI4HJ.png)

В результате, скрипт обнулил пароль машинной учетной записи контроллера домена. 
Сдампим NTDS с помощью secretsdump, команда "secretsdump.py -hashes :31d6cfe0d16ae931b73c59d7e0c089c0 'PT/DC1$@192.168.10.200'":
![](https://i.imgur.com/XpD8O1r.png)

Используя полученные хеши учетных данных, можно выполнять команды от любого пользователя. Например, ипользована команда
"crackmapexec smb 192.168.10.200 -u ADMPetr -H 05df2fd1109e3d3b60f110965f6af128 -x whoami":
![](https://i.imgur.com/3Uga8eY.png)

### Обнаружены следы эксплуатации уязвимостей
- В журнале System видим ошибку Netlogon:
![](https://i.imgur.com/8KxNfsJ.png)

- В журнале Security видим событие с id 4742, указывающее на изменение учетной записи компьютера нелегитимным пользователем:
![](https://i.imgur.com/ncux0Q6.png)

- При легитимном взаимодействии генерируется ещё одно событие с id 5823. Если поискать события с id 4742 за день, когда произошло событие с id 5823, то мы обнаружим, что это легитимные события, связанные с введением в домен сервера DC2:
![](https://i.imgur.com/YA5NtzH.png)
![](https://i.imgur.com/s1pDLeJ.png)

- В случае попыток выгрузки дампа NTDS, то можно увидеть события в журнале Direcrory Service:
![](https://i.imgur.com/OOuP7Jj.png)
