---
# System prepended metadata

title: Практическая работа №6. Базовые атаки и компрометация доменной Windows-инфраструктуры

---

Windows_Basic-Дюжев_Владимир-Практика-6

# Практическая работа №6. Базовые атаки и компрометация доменной Windows-инфраструктуры

## Часть 1. Базовые атаки на инфраструктуру Windows

    Бэкап NTDS
![](https://i.imgur.com/0CgZSYW.png)

    Перенос NTDS
![](https://i.imgur.com/SByqwWL.png)


    Анализ NTDS
![](https://i.imgur.com/lB0CtHB.png)

    Crackmapexec. Выполнил команду от имени пользователя на удаленной машине
![](https://i.imgur.com/6StXPL2.png)

    XFreeRDP. 
    Включил удалённый доступ по RDP 
![](https://i.imgur.com/559fm79.png)
    
    Пробую зайти на DC1 и подтверждаю сертификат 
![](https://i.imgur.com/JqDNYk0.png)
   
    Зашел по RDP 
![](https://i.imgur.com/Lr9rLPp.png)
![](https://i.imgur.com/trqy2qT.png)


    Изменил параметр реестра на dc1 
![](https://i.imgur.com/wPSh15J.png)

    Теперь могу получить доступ через XFreeRDP 
![](https://i.imgur.com/GfgR7bf.png)

    Запустил анализ через Responder
![](https://i.imgur.com/9zWLBuh.png)

    Доменный ПК пытается обратиться к несуществующему сетевому ресурсу
![](https://i.imgur.com/UbBCZeF.png)

    Анализатор видит LLNMR,NBNS запросы 
![](https://i.imgur.com/Hn6Xe0n.png)
 
    Запуск Responder для отравления WPAD
![](https://i.imgur.com/XNuFqff.png)

    Responder перехватывает аутентификационный токен после того как доменный пк обратился к сетевому ресурсу
![](https://i.imgur.com/uTEPRWl.png)

    Атака с помощью mitm6
    Настройки сетевого адаптера pc1 до атаки
![](https://i.imgur.com/bNCuS3n.png)

    Произвел саму атаку 
![](https://i.imgur.com/vB8lkUk.png)

    Настройки сетевого адаптера pc1 после атаки
![](https://i.imgur.com/FfvDdjL.png)

    После захода на домен через проводник, на кали картина обстоит следующим образом 
![](https://i.imgur.com/v3vxL7j.png)  

## Часть 2. Эксплуатация уязвимостей контроллера домена


    Для начала активирую политику аудита машинных учетных записей и применяю к контроллерам домена
![](https://i.imgur.com/Si1RNB9.png) 
 
    Вызов эксплойта
![](https://i.imgur.com/HLfJ9tw.png) 

    Перешел в impacket/examples для выполнения оттуда команды
![](https://i.imgur.com/fM4zCnf.png)

    С помощью полученных хешей учетных данных можно выполнять команды от любого пользователя 
![](https://i.imgur.com/D0BmIUl.png) 

## Часть 3. Поиск следов эксплуатации уязвимостей 

    Проверил журнал System
![](https://i.imgur.com/i3FACN6.png)

    Проверил Security, увидел событие 4742
![](https://i.imgur.com/NVdd5lY.png)

    Проверил Security, увидел событие 5823
![](https://i.imgur.com/N8RyPUf.png)
    
    Увидел данные выгрузки в журнале Direcrory Service
![](https://i.imgur.com/YAX2pTK.png)
