# Windows Basic 6 ## Практика 6.1 ### 1) Базовые атаки на инфраструктуру Windows - Создал бэкап NTDS ![](https://i.imgur.com/JMKBeH0.png) ![](https://i.imgur.com/a5yj9FK.png) - Передал бэкап с винсервера на кали ![](https://i.imgur.com/7UThGcE.png) ![](https://i.imgur.com/Z1d1yGd.png) - Установил impacket ![](https://i.imgur.com/Gr7Y8aI.png) - Провожу анализ NTDS ![](https://i.imgur.com/Bgh3Hhu.png) - Запустил cmd в DC1 от имени администратора в кали ![Uploading file..._4ashiujcq]() - Разрешил удаленное подключение админам ![](https://i.imgur.com/LrMoCID.png) - Запретили доступ из-за политики restricted admin ![](https://i.imgur.com/keLjsOQ.png) - Отключил политику ![](https://i.imgur.com/hgiHGQ4.png) - Теперь пускает на удаленный рабочий стол от имени ADMPetr ![](https://i.imgur.com/PkEAZma.png) - Запустил режим анализа responder ![](https://i.imgur.com/Ti1i4OY.png) - Доменный ПК пытается обратиться к несуществующему ресурсу ![](https://i.imgur.com/peX9XnT.png) - Анализатор видит LLNMR, NBNS запросы ![](https://i.imgur.com/HLEWCwi.png) - Запуск Responder для отправления WPAD ![](https://i.imgur.com/Uoe44rZ.png) - Responder перехватывает аутентификационный токен после того как доменный пк обратился к сетевому ресурсу ![](https://i.imgur.com/Ta0pzoD.png) - Установил mitm6 ![](https://i.imgur.com/zkKkTS0.png) - Бывшие настройки сетевого адаптера PC1 ![](https://i.imgur.com/OfsmI7M.png) - Ввел команду ![](https://i.imgur.com/iQMp0Sa.png) - Текущие настройки сетевого адаптера PC1 ![](https://i.imgur.com/NmJSXA0.png) - Создал новый SMB сервер ![](https://i.imgur.com/mOwPLQm.png) ## Практика 6.2 - Активировал политику аудита машинных учетных записей и применил ее к контроллерам домена ![](https://i.imgur.com/ORgQIEp.png) ### 2) Эксплуатация уязвимостей контроллера домена - Вызвал эксплоит ![](https://i.imgur.com/h14sV9X.png) - Применил команду из /impacket/examples ![](https://i.imgur.com/aIKDQVH.png) - С помощью полученных хешей учетных данных можно выполнять команды от любого пользователя ![](https://i.imgur.com/a7bbIPT.png) ## 3) Поиск следов эксплуатации уязвимостей - Проверил журнал System ![](https://i.imgur.com/zEnu6jB.png) - Проверил Security, появилось событие 4742 ![](https://i.imgur.com/sHy4StG.png) - Проверил System, появилось событие 5823 ![](https://i.imgur.com/l8lmdm2.png) - Увидел данные выгрузки в журнале Directory Service ![](https://i.imgur.com/btSYqqo.png)