Windows_Basic-Дюжев_Владимир-Практика-6 # Практическая работа №6. Базовые атаки и компрометация доменной Windows-инфраструктуры ## Часть 1. Базовые атаки на инфраструктуру Windows Бэкап NTDS ![](https://i.imgur.com/0CgZSYW.png) Перенос NTDS ![](https://i.imgur.com/SByqwWL.png) Анализ NTDS ![](https://i.imgur.com/lB0CtHB.png) Crackmapexec. Выполнил команду от имени пользователя на удаленной машине ![](https://i.imgur.com/6StXPL2.png) XFreeRDP. Включил удалённый доступ по RDP ![](https://i.imgur.com/559fm79.png) Пробую зайти на DC1 и подтверждаю сертификат ![](https://i.imgur.com/JqDNYk0.png) Зашел по RDP ![](https://i.imgur.com/Lr9rLPp.png) ![](https://i.imgur.com/trqy2qT.png) Изменил параметр реестра на dc1 ![](https://i.imgur.com/wPSh15J.png) Теперь могу получить доступ через XFreeRDP ![](https://i.imgur.com/GfgR7bf.png) Запустил анализ через Responder ![](https://i.imgur.com/9zWLBuh.png) Доменный ПК пытается обратиться к несуществующему сетевому ресурсу ![](https://i.imgur.com/UbBCZeF.png) Анализатор видит LLNMR,NBNS запросы ![](https://i.imgur.com/Hn6Xe0n.png) Запуск Responder для отравления WPAD ![](https://i.imgur.com/XNuFqff.png) Responder перехватывает аутентификационный токен после того как доменный пк обратился к сетевому ресурсу ![](https://i.imgur.com/uTEPRWl.png) Атака с помощью mitm6 Настройки сетевого адаптера pc1 до атаки ![](https://i.imgur.com/bNCuS3n.png) Произвел саму атаку ![](https://i.imgur.com/vB8lkUk.png) Настройки сетевого адаптера pc1 после атаки ![](https://i.imgur.com/FfvDdjL.png) После захода на домен через проводник, на кали картина обстоит следующим образом ![](https://i.imgur.com/v3vxL7j.png) ## Часть 2. Эксплуатация уязвимостей контроллера домена Для начала активирую политику аудита машинных учетных записей и применяю к контроллерам домена ![](https://i.imgur.com/Si1RNB9.png) Вызов эксплойта ![](https://i.imgur.com/HLfJ9tw.png) Перешел в impacket/examples для выполнения оттуда команды ![](https://i.imgur.com/fM4zCnf.png) С помощью полученных хешей учетных данных можно выполнять команды от любого пользователя ![](https://i.imgur.com/D0BmIUl.png) ## Часть 3. Поиск следов эксплуатации уязвимостей Проверил журнал System ![](https://i.imgur.com/i3FACN6.png) Проверил Security, увидел событие 4742 ![](https://i.imgur.com/NVdd5lY.png) Проверил Security, увидел событие 5823 ![](https://i.imgur.com/N8RyPUf.png) Увидел данные выгрузки в журнале Direcrory Service ![](https://i.imgur.com/YAX2pTK.png)