---
# System prepended metadata

title: Windows Basic Practice 6
tags: [Windows Basic]

---

# Windows Basic Practice 6
###### tags: `Windows Basic`
## Практическая работа №6.1 Базовые атаки на Windows-инфраструктуру
### 1) Анализ базы NTDS
Сделаем бэкап NTDS
![](https://i.imgur.com/kOApenU.png)

![](https://i.imgur.com/Q8QcC5s.png)

Зайдём на сервер Win с помощью Kali, чтобы перенести NTDS:
![](https://i.imgur.com/83iaA33.png)

Для начала анализа скачаем impacket:
![](https://i.imgur.com/x6zRpr4.png)

![](https://i.imgur.com/9DkS4we.png)

![](https://i.imgur.com/IfLrpsY.png)

Выполним следующую команду, чтобы проанализировать базу NTDS:
![](https://i.imgur.com/2TngFd2.png)

### 2) Выполнение атаки “Path-the-hash”
Запустим cmd Windows с помощью утилиты smexec для удалённой передачи команд:
![](https://i.imgur.com/JKwkPZH.png)

Далее получим доступ по RDP. Сначала включим удалённый доступ по RDP на dc1, дадим доступ администраторам домена: 
![](https://i.imgur.com/2DMD4ew.png)

![](https://i.imgur.com/Ov9IfDI.png)

Попробуем зайти на dc1:
![](https://i.imgur.com/ubtNgaJ.png)

(В начале я вставлял не те хэши, поэтому сертификат я смог подписать, но доступ по RDP не был получен)
![](https://i.imgur.com/XyNPh3d.png)

(А этот скрин сделан после успешного доступа по RDP)
![](https://i.imgur.com/Fp217wp.png)

Действует политика restricted admin:
![](https://i.imgur.com/C6Mnf0P.png)

Поэтому применим команду, которая выключает эту политику:
![](https://i.imgur.com/KgGjFi7.png)

Убедимся, что команда выполнилась, зайдя в события, связанная с аудитом PoSH:
![](https://i.imgur.com/upoXRYg.png)

После чего удаётся зайти через RDP:
![](https://i.imgur.com/w0Ri0YM.png)

### 3) Реализация атаки на базовые протоколы Windows
Запускаем анализ Responder:
![](https://i.imgur.com/m3P2ARB.png)
(так как первый адаптер это NAT, а второй это внутренняя сеть intnet, то я написал eth1 вместо eth0)

Доменный ПК пытается обратиться к несуществующему сетевому ресурсу:
![](https://i.imgur.com/3gi6xYf.png)

Анализатор видит LLMNR, MDNS запросы (изначально на Win10 был отключён IPv6, впоследствии я его включил обратно):
![](https://i.imgur.com/yk4y4G2.png)

После применения команды атаки respoder -I eth1 -wFv пользователь снова проходит по несуществующему пути:
![](https://i.imgur.com/ENxwOoe.png)

Responder перехватывает аутентификационный токен:
![](https://i.imgur.com/AviP6nZ.png)

Далее установим mitm6:
![](https://i.imgur.com/seDxuMt.png)

Настройки сетевого адаптера pc1 до применения атаки:
![](https://i.imgur.com/KYgGqIH.png)

![](https://i.imgur.com/DKeU8lr.png)

Настройки сетевого адаптера pc1 после применения команды атаки mitm6 -d pt.local (для работы mitm6 я в этот момент включил IPv6-настройки на Win10):
![](https://i.imgur.com/ytXpGNf.png)

Создание своего сервера SMB. Не отключая mitm6, создадим SMB сервер и попытаемся зайти на него:
![](https://i.imgur.com/i4UAJDT.png)

Увидим данные аутентификации в выводе программы:
![](https://i.imgur.com/C4cqpCd.png)

## Практическая работа №6.2 Базовые атаки и компрометация доменной Windows-инфраструктуры
### 1) Провести эксплуатацию уязвимостей контроллера домена
Для начала нужно активировать политику аудита машинных учетных записей и применить к контроллерам домена:
![](https://i.imgur.com/sm7Tv3v.png)

Применим политику:
![](https://i.imgur.com/WcediCh.png)

Скачаем zerologon:
![](https://i.imgur.com/bPbRn6V.png)

Откроем README, где увидим применение скрипта для обнуляения пароля машинной учетной записи контроллера домена:
![](https://i.imgur.com/rf4TYPh.png)

Применим этот скрипт:
![](https://i.imgur.com/MS9lLhy.png)

Cдампим NTDS с помощью secretsdump:
![](https://i.imgur.com/x3CZACx.png)

С помощью полученных хешей учетных данных можно выполнять команды от любого пользователя, в нашем случае это Admpetr, который помечается надписью (Pwn3d!), значит, всё удалось:
![](https://i.imgur.com/7TCFez3.png)

### 2) Найти следы эксплуатации уязвимостей
Откроем event viewer, где увидим ошибку Netlogon:
![](https://i.imgur.com/WR5Pzp2.png)

![](https://i.imgur.com/kBjNrJw.png)

Зайдём во вкладку Security, где увидим событие с ID 4742:
![](https://i.imgur.com/FaF44Tr.png)

Событие было совершено анонимным пользователем:
![](https://i.imgur.com/T8vuhun.png)

Найдём событие 5823 в журнале System с помощью фильтра:
![](https://i.imgur.com/YcHdKm3.png)

Отобразится 2 события с сильно большим интервалом по времени:
![](https://i.imgur.com/4FpPb0J.png)

Если происходит дамп NTDS, то можно увидеть данные выгрузки в журнале Direcrory Service:
![](https://i.imgur.com/qqIx8N0.png)

![](https://i.imgur.com/oin2UGz.png)






