---
# System prepended metadata

title: 'Курс PT. 01 Windows, практика 06: базовые атаки и компрометация доменной Windows-инфраструктуры'

---

# Курс PT. 01 Windows, практика 06: базовые атаки и компрометация доменной Windows-инфраструктуры

---
---
---

В качестве одной из базовых атак базовыми средствами Windows на DC1 был сделан бэкап NTDS,
![](https://i.imgur.com/MManzPc.png)
который затем через SMB был выгружен на машину Kali. На ней был установлен пакет impacked с утилитой secretsdump.py, через которую производилась расшифровка этого дампа:
![](https://i.imgur.com/PTXhxSk.png)
Затем через smbexec с помощью полученных логинов и хэшей была продемонстрирована возможность исполнения кода в CMD на сервере:
![](https://i.imgur.com/dHvsCsm.png)

---
---
---

После была опробована возможность RDP. Для этого была задействована утилита xfreerdp. Вход осуществлялся на машину DC1, поэтому потребовалось дополнительно выполнить 2а момента:
* включить службу WRM и разрешить некоторым пользователям поюключаться по ней;
* разрешить удаленное подключение администраторов к серверу (по умолчанию отключено).
В результате получил следующую "картину":
![](https://i.imgur.com/PBclLHu.png)

---
---
---

Далее была опробована возможность атаки на протоколы NBT-NS | LLMNR | mDNS. Сначала мы запускаем анализ инфраструктуры через Responder (параметр A):
![](https://i.imgur.com/CwFPDbA.png)
Все запросы пользователей и обмен информацией мы видим как на "ладони":
![](https://i.imgur.com/UCBGPyM.png)
Затем мы переводим сканер в режим "атаки" (параметр -wFv) через WPAD и принудительное использование устаревших протоколов:
![](https://i.imgur.com/CxDEftS.png)
В результате обращения пользователя к "неправильным" ресурсам мы можем легко получить его доменные аутентификационные данные:
![](https://i.imgur.com/CrUdo8k.png)
![](https://i.imgur.com/VCaVb3F.png)

---
---
---

Теперь попробуем реализовать атаку через протокол IPv6. Он специально не отключен в нашей инфраструктуре. Для этого можно воспользоваться утилитой mitm6, поднимающей свой IPv6 DNS-сервер.
![](https://i.imgur.com/OshUbib.png)

В результате активации все активные машины домена (DC1 и PC1) получают адреса IP6 и пытаются "использовать" именно их для дальнейшего взаимодействия:
![](https://i.imgur.com/WCynGx6.png)

Для получения аутентификационных данных попробуем поднять фиктивный SMB-сервер:
![](https://i.imgur.com/v6ZwcBz.png)

Но данный прием не срабатывает - не смотря на "трудности" в подключении PC1 все равно выходит на нужный сервер, а в логах mitm6 нужной информации нет:
![](https://i.imgur.com/uRZZNpV.png)
![](https://i.imgur.com/ocNsgXy.png)
![](https://i.imgur.com/UQGbKb7.png)
Возможная причина - на Windows10 в ходе работы автоматически установились ряд обновлений из сервиса WU. На будущее стоит в подготовке предусмотреть средства для блокировки обновлений =/

---
---
---

Осталось только рассмотреть компроментацию всей инфраструктуры через уязвимость ZeroLogon. Для этого мы используем соотвествующий эксплойт, срабатывающий практически моментально:
![](https://i.imgur.com/IWd0YhW.png)

Теперь мы можем дистанционно проанализировать NTDL скопроментированного контроллера:
![](https://i.imgur.com/pnz9yRN.png)

В результате полученной информации мы можем ряд команд, как уже было рассмотрено ранее. Однако данный прием имеет и обратную "сторону", т.к. практически "ломает" домена. И при наличии в инфраструктуре SIEM-систем это замечается крайне быстро:
![](https://i.imgur.com/3GEzQKv.png)
![](https://i.imgur.com/M2TkpJT.png)

Отсутствие актуальной записи о смене пароля компьютера свидетельствует о нелегимной процедуре (домену < 30 дней, пароль не должен был меняться):
![](https://i.imgur.com/0dC65Js.png)




















