# Windows_Basic-Криворученко_Савелий-Практика-6
<a name="headers"><h2>6.1 Базовые атаки и компрометация доменной Windows-инфраструктуры</h2></a>
# Задание:
1) Провести анализ базы NTDS
2) Выполнить атаку “Path-the-hash”
3) Реализовать атаки на базовые протоколы Windows
### Часть 1. Базовые атаки на инфраструктуру Windows
### Этап 1. Анализ базы NTDS
|1.1 Бэкап NTDS|
|--------------|
>Заходим в командную строку в роли администратора и вводим команду, для активации процесса Install From Media, позволяющий сделать копию нашего NTDS с необходимыми ветками реестра:
| ntdsutil activate instance ntds ifm create full C:\temp |
| -------- |
>
|1.2 Перенос NTDS|
|--------------|
>Перенесем temp каталог
>
|1.3 Анализ NTDS|
|--------------|
> устанавливаем
```
git clone https://github.com/SecureAuthCorp/impacket
apt install python3-pip
cd impacket
pip install .
```
>
> переходим в каталог examples, где исполняем скрипт и анализируем инстанс базы данных NTDS
>
> 
### Этап 2. Path-the-hash
|2.1 Crackmapexec|
|--------------|
>ВКЛ KALI, WIN 10, DC1
>Возьмем хеш админа из secretdump, и войдем в винду
>
>
```
другие функции данной утилиты:
```
> быстрое сканирование сети и обнаружение хостов, как либо взаимодействующих с протоколом smb:
>
>выполнение команды от имени пользователя на удаленной машине посредством командной строки:
>
|2.2 XFreeRDP|
|--------------|
> С хешем можно зайти даже по RDP. Для этого используется следующая команда.
```
xfreerdp /d:domainname /u:username /v:ipaddr /pth:NTHASH
```
>Но вначале вкл RDP, и дадим доступ адмнам домена
>
>и поменяем политику
>
>Попробуем зайти:
>
>
>
### Этап 3. Атаки на базовые протоколы Windows
| NBT-NS & LLMNR & mDNS |
| -------- |
> Важной частью эксплуатации будет WPAD -- специальный протокол для настройки проксирования в системе Win. Система всегда запрашивает файл с настройками wpad.dat, а злоумышленник может подсунуть свой файл, став прокси-серверов для Win и таким образом осуществив атаку "человек посередине".
* Анализ инфраструктуры через responder
>Запускаем анализ Responder
>
>Доменный ПК пытается обратиться к несуществующему сетевому ресурсу
>
>
* Режим атаки:
>
>
>Пользователь снова проходит по несуществующему пути
>
>
```
Responder притворяется этим ресурсом, поэтому видим окно аутентификации
```
>Responder перехватывает аутентификационный токен
>
>
```
Данный токен можно подвергнуть брутфорсу.
При попытке пользователя обратиться к несуществующему в DNS WinServer16 ресурсу (в этом примере это "\\\somebodywastoldme") в выводе мы увидим NTLNv2 аутентификацию, которую после можно брутфорсить через hashcat или John the ripper. В выводе будет NTLMv2 хэш, так как наш сервер не принимает kerberos аутентификацию, вынуждая win10 аутентифицироваться по чистому NTLMv2.
```
| mitm6|
| -------- |
> Для начала установим
> 
> настройки сети pc1
> 
> Подмена параметров win 10. Для полной атаки нам необходимо создать свой сервер smb
> 
> 
>попробуем зайти на наш домен на win 10
>
>Увидим данные аутентификации в выводе программы
```
Эти аутентификационные данные уже можно вскрывать с помощью hashcat или John the ripper. Это не чистый хэш пароля, а аутентификация по протоколу NTLMv2
```
---
<a name="headers"><h2>6.2 Компрометация доменной Windows-инфраструктуры</h2></a>
# Задание:
1) Провести эксплуатацию уязвимостей контроллера домена
2) Найти следы эксплуатации уязвимостей
>Для начала нужно активировать политику аудита машинных учетных записей и применить к контроллерам домена
>
>
### Часть 2. Эксплуатация уязвимостей контроллера домена
> Скачаем репозиторий с уязвимостью zerologon
> 
>Перейдем в скачанную папку и прочитаем README
>
> Вызываем Эксплоид
> 
>Скрипт обнулил пароль машинной учетной записи контроллера домена. Воспользуемся этим, чтобы сдампить NTDS с помощью secretsdum. Перед этим скачаем импакт для дампа.
> Перейдем в нужный каталог и применим команду
```
python3 secretsdump.py -hashes :31d6cfe0d16ae931b73c59d7e0c089c0 'PT/DC1$@192.168.10.200'
```
> С помощью полученных хешей учетных данных можно выполнять команды от любого пользователя
### Часть 3. Поиск следов эксплуатации
>Проверим журнал System, увидим ошибку Netlogon
>
>Проверим Security, увидим событие 4742
>
>Анализ выявил, что вошли в систему с анонимной учетки, изменили пароль. Для проверки легитимности события, нужно провести поиск "событие ID 5823"
| Событие произошло, но гораздо раньше |
| -------- |
Можно посмотреть событие 4742, которое произошло одновремено с 5823, скрин ранее. Оно связано с регистрацией DC2
| Также можно произвести поиск по PS|
| -------- |
| |
>При дампе NTDS, это можно увидеть данные выгрузки в журнале Direcrory Service
Sign in with Wallet
Connect another wallet