# Windows Basic Practice 6
###### tags: `Windows Basic`
## Практическая работа №6.1 Базовые атаки на Windows-инфраструктуру
### 1) Анализ базы NTDS
Сделаем бэкап NTDS


Зайдём на сервер Win с помощью Kali, чтобы перенести NTDS:

Для начала анализа скачаем impacket:



Выполним следующую команду, чтобы проанализировать базу NTDS:

### 2) Выполнение атаки “Path-the-hash”
Запустим cmd Windows с помощью утилиты smexec для удалённой передачи команд:

Далее получим доступ по RDP. Сначала включим удалённый доступ по RDP на dc1, дадим доступ администраторам домена:


Попробуем зайти на dc1:

(В начале я вставлял не те хэши, поэтому сертификат я смог подписать, но доступ по RDP не был получен)

(А этот скрин сделан после успешного доступа по RDP)

Действует политика restricted admin:

Поэтому применим команду, которая выключает эту политику:

Убедимся, что команда выполнилась, зайдя в события, связанная с аудитом PoSH:

После чего удаётся зайти через RDP:

### 3) Реализация атаки на базовые протоколы Windows
Запускаем анализ Responder:
(так как первый адаптер это NAT, а второй это внутренняя сеть intnet, то я написал eth1 вместо eth0)

Доменный ПК пытается обратиться к несуществующему сетевому ресурсу:

Анализатор видит LLMNR, MDNS запросы (изначально на Win10 был отключён IPv6, впоследствии я его включил обратно):

После применения команды атаки respoder -I eth1 -wFv пользователь снова проходит по несуществующему пути:

Responder перехватывает аутентификационный токен:

Далее установим mitm6:

Настройки сетевого адаптера pc1 до применения атаки:


Настройки сетевого адаптера pc1 после применения команды атаки mitm6 -d pt.local (для работы mitm6 я в этот момент включил IPv6-настройки на Win10):

Создание своего сервера SMB. Не отключая mitm6, создадим SMB сервер и попытаемся зайти на него:

Увидим данные аутентификации в выводе программы:

## Практическая работа №6.2 Базовые атаки и компрометация доменной Windows-инфраструктуры
### 1) Провести эксплуатацию уязвимостей контроллера домена
Для начала нужно активировать политику аудита машинных учетных записей и применить к контроллерам домена:

Применим политику:

Скачаем zerologon:

Откроем README, где увидим применение скрипта для обнуляения пароля машинной учетной записи контроллера домена:

Применим этот скрипт:

Cдампим NTDS с помощью secretsdump:

С помощью полученных хешей учетных данных можно выполнять команды от любого пользователя, в нашем случае это Admpetr, который помечается надписью (Pwn3d!), значит, всё удалось:

### 2) Найти следы эксплуатации уязвимостей
Откроем event viewer, где увидим ошибку Netlogon:


Зайдём во вкладку Security, где увидим событие с ID 4742:

Событие было совершено анонимным пользователем:

Найдём событие 5823 в журнале System с помощью фильтра:

Отобразится 2 события с сильно большим интервалом по времени:

Если происходит дамп NTDS, то можно увидеть данные выгрузки в журнале Direcrory Service: