---
# System prepended metadata

title: Муханов Матвей. Занятие 6 - Базовые атаки и компрометация доменной Windows-инфраструктуры

---

# Муханов Матвей. Занятие 6 - Базовые атаки и компрометация доменной Windows-инфраструктуры

## Практическая работа №6.1 Базовые атаки на Windows-инфраструктуру.

### Задание
       
       
1) Провести анализ базы NTDS

2) Выполнить атаку “Path-the-hash”

3) Реализовать атаки на базовые протоколы Windows

### Методический материал:

#### Часть 1. Базовые атаки на инфраструктуру Windows

##### Этап 1. Анализ базы NTDS

Осуществляю бэкап NTDS, вводя команды к консоль. Появились логи на диске С

![](https://i.imgur.com/rJ4B40C.png)

Теперь перенос NTDS. С помощью SMB захожу на сервер Win с Kali

![](https://i.imgur.com/6zNiKU4.png)

Для анализа дампа для начала нужно скачать impacket

![](https://i.imgur.com/mSW5zGb.png)

После установки нужно перехожу из директории impacket в директорию examples и выполняю команды 

![](https://i.imgur.com/067rPDn.png)

#### Этап 2. Path-the-hash

Crackmapexec

![](https://i.imgur.com/Flpiv4y.png)

Cписки сетевых папок пользователя

![](https://i.imgur.com/847aciW.png)

Утилита smbexec

![](https://i.imgur.com/TUUcy1m.png)

С хэшем войдём по RDP. Для начала включим удалённый доступ по RDP на dc1, доступ дадим администраторам домена

![](https://i.imgur.com/8tNQ1ET.png)

![](https://i.imgur.com/1QV2q4j.png)

Подтвердим сертификат

![](https://i.imgur.com/CGcbZBz.png)

Действует политика restricted admin

Изменим параметр реестра на dc1

![](https://i.imgur.com/OVvdpHZ.png)

![](https://i.imgur.com/Exwc5Dk.png)

![](https://i.imgur.com/XxUKnH0.png)

После чего xfreerdp спокойно пускает нас с помощью хеша

![](https://i.imgur.com/DI9OV6N.png)

##### Этап 3. Атаки на базовые протоколы Windows

Запускаем анализ Responder

![](https://i.imgur.com/qy9A6Dc.png)

Доменный ПК пытается обратиться к несуществующему сетевому ресурсy, допуская ошибку

![](https://i.imgur.com/fub0V5d.png)

Анализатор видит LLNMR, NBNS запросы

![](https://i.imgur.com/x2mwQox.png)

Режим атаки. Responder запускается

![](https://i.imgur.com/FcgogR4.png)

Пользователь снова проходит по несуществующему пути

![](https://i.imgur.com/6Kg8PBS.png)

Responder притворяется этим ресурсом, поэтому видим окно аутентификации

Responder перехватывает аутентификационный токен

![](https://i.imgur.com/ZPc4ti5.png)

![](https://i.imgur.com/orBWLQe.png)

Данный токен можно подвергнуть брутфорсу.


Атака mitm6
скачаем

![](https://i.imgur.com/qLpXbZo.png)

Выполнение атаки

Настройки сетевого адаптера были

![](https://i.imgur.com/1wSNxTq.png)

Kali Linux. Атака

![](https://i.imgur.com/U9WNtBu.png)

Настройки сетевого адаптера pc1 cтали

![](https://i.imgur.com/2dJrQoA.png)

Не отключая mitm6, создадим SMB сервер

![](https://i.imgur.com/YJ9d3T8.png)

А на Win10 через проводник попробуем зайти на наш домен

![](https://i.imgur.com/ZYar4NP.png)

Увидим данные аутентификации в выводе программы

![](https://i.imgur.com/ZxvEKn8.png)

Эти аутентификационные данные уже можно вскрывать с помощью hashcat или John the ripper

## Практическая работа №6.2 Компрометация доменной Windows-инфраструктуры.

### Задание:

1) Провести эксплуатацию уязвимостей контроллера домена

2) Найти следы эксплуатации уязвимостей

### Методический материал:

Для начала нужно активировать политику аудита машинных учетных записей и применить к контроллерам домена

![](https://i.imgur.com/B0HGLPg.png)

#### Часть 2. Эксплуатация уязвимостей контроллера доменa

Проведем поиск по уязвимости zerologon и найдём множество репозиториев на github,  в том числе и с эксплойтами

![](https://i.imgur.com/86I2hqO.png)

Скачаем один из них

![](https://i.imgur.com/DQqnLD0.png)

Перейдем в скачанную папку и прочитаем README

![](https://i.imgur.com/a1YZ8Mu.png)

![](https://i.imgur.com/RVrFF5J.png)

Скрипт обнулил пароль машинной учетной записи контроллера домена. Воспользуемся этим, чтобы сдампить NTDS с помощью secretsdump, но сначала скачаем его

![](https://i.imgur.com/EpfIoWl.png)

![](https://i.imgur.com/o23eUIu.png)

С помощью полученных хешей учетных данных можно выполнять команды от любого пользователя

![](https://i.imgur.com/gVChx6N.png)

#### Часть 3. Поиск следов эксплуатации уязвимостей

Проверим журнал System, увидим ошибку Netlogon

![](https://i.imgur.com/sB0Xnic.png)

Проверим Security, увидим событие 4742

![](https://i.imgur.com/xTbdvjg.png)

Проанализирую событие 

Найдём событие 5823 в журнале System с помощью фильтра

![](https://i.imgur.com/LXhE8v8.png)

Событие есть, но оно произошло намного раньше

![](https://i.imgur.com/PJzn7vv.png)

 Если происходит дамп NTDS, то можно увидеть данные выгрузки в журнале Direcrory Service
 
 ![](https://i.imgur.com/5NbOGW7.png)
