---
# System prepended metadata

title: Отчёт по лабораторной работе №6
tags: [Windows Labs, PT Labs]

---

###### tags: `Windows Labs` `PT Labs`
# Отчёт по лабораторной работе №6
Выполнил: Запорожец Арсений
## Часть 1. Базовые атаки на инфраструктуру Windows
### Этап 1. Анализ базы NTDS
Введём набор команд, активирующих процесс Install From Media, позволяющий сделать копию нашего NTDS с необходимыми ветками реестра:
![](https://i.imgur.com/Qy6P0Fi.png)

Используя smbclient авторизируемся на сервере WinServer16-1en используя учётную запись одного из администраторов. В моём случае эта была учётная запись PT\administrator:
![](https://i.imgur.com/gc6hL2x.png)

Приступим к скачиванию и установке impacket. В домашней директории создадим папку work для удобства. Все следующие манипуляции с программой будем проводить там. Скачаем программу с github, перейдём её папку и выполним установку всех компонентов:
![](https://i.imgur.com/8k4YI8a.png)

Затем, после установки, перейдём в папку "examples" и выполним команду, представленную на скриншоте. Результат её выполнения можно увидеть там же:
![](https://i.imgur.com/lOZ02h7.png)
![](https://i.imgur.com/3ku222c.png)

### Этап 2. Path-the-hash
Для следующей части в дополнение к уже открытым машинам нам понадобиться pc1. Включим его.
Теперь мы приступим к использованию набора инструментов под названием crackmapexec. Самое базовое применение - быстрое сканирование сети на наличие как-либо взаимодействующих с протоколом smb:
![](https://i.imgur.com/1AGsF4i.png)

Также можно удалённо выполнять команды на машине с помощью smbexec.py:
![](https://i.imgur.com/9gh0hRV.png)

Теперь попробуем авторизоваться с помощью хэша, но уже по RDP. Подтвердим сертификат:
![](https://i.imgur.com/q0hcf9Z.png)

И получим следующий вывод:
![](https://i.imgur.com/wDlwA8Y.png)
Это произошло потому что действует политика restricted admin. Изменим параметры реестра при помощи Windows PowerShell:
![](https://i.imgur.com/MrMPdgE.png)
Т.к. у нас включена политика аудита PoSH, зайдя в Event Viewer мы можем увидеть логи, связанные с этим событием:
![](https://i.imgur.com/jENx4J2.png)

Повторим попытку подключения по RDP. Она на этот раз окажется успешной:
![](https://i.imgur.com/kV4dbrc.png)

### Этап 3. Атаки на базовые протоколы Windows
Приступим к реализации атаки "Человек посередине". Так как в моём случае общая сеть находится на eth1, команда в данном случае будет отличаться от той, что представлена в методичке:
![](https://i.imgur.com/fFkA4Uc.png)

Теперь попытаемся получить доступ к несуществующему ресурсу. В данном случае это будет одноимённый представленному в методических указаниях ресурс pt-file:
![](https://i.imgur.com/KgCnfK0.png)

Наш друг уже заметил LLNMR, NBNS запросы:
![](https://i.imgur.com/hrFV4eW.png)

Теперь при попытке перейти на несуществующий доменный ресурс, responder притвориться им:
![](https://i.imgur.com/FNWVZvN.png)

После авторизации пользователь получит сообщение об отказе в доступе, а responder - токен аутентификации, который позже можно будет забрутить:
![](https://i.imgur.com/FqPZ6RF.png)

Теперь выполним атаку с использованием mitm6.
В моём случае он уже был установлен.
Скрин настроек WinPro до атаки:
![](https://i.imgur.com/K2uYMCn.png)

Атака с kali:
![](https://i.imgur.com/T7tBOxb.png)

Скрин после:
![](https://i.imgur.com/PgM2AyD.png)

Создадим SMB сервер, не отключая mitm6:
![](https://i.imgur.com/dwSEh6R.png)

Перейдём в pt.local:
![](https://i.imgur.com/zpQQAqD.png)

И увидим данные аутентификации в окне программы:
![](https://i.imgur.com/G6qL6ov.png)

## Часть 2. Компрометация доменной Windows-инфраструктуры.
Перед началом стоит активировать политику аудита машинных учетных записей и применить к контроллерам домена:
![](https://i.imgur.com/94O0alC.png)
![](https://i.imgur.com/mj8iWTC.png)

Теперь на kali скачаем набор эксплойтов для zerologon:
![](https://i.imgur.com/wfY1yHb.png)

Выведем на экран README.md при помощи команды "cat":
![](https://i.imgur.com/KY1o0Nj.png)

Давайте используем предложенную нам конструкцию эксплойта:
![](https://i.imgur.com/qFW0fvs.png)

Теперь нам нужен инструмент secretsdump, однако при его вызове возвращается ошибка и сообщение о его отсутствии. Стоит напомнить, что ранее мы скачали пакет пентестерских утилит impacket. В нём как раз есть то, что нам нужно. Перейдём в каталог impacket/examples и выполним команду оттуда:
![](https://i.imgur.com/FG8r7Xb.png)
![](https://i.imgur.com/GuFoAwb.png)

Теперь, благодаря полученным хэшам можно выполнять команды от имени любого пользователя:
![](https://i.imgur.com/O7eNVLC.png)

## Часть 3. Поиск следов эксплуатации уязвимостей
Если зайти в журнал событий, то во вкладке "Система" можно увидеть ошибку NETLOGON:
![](https://i.imgur.com/wrOOkwd.png)

Во вкладке "Безопасность" событие с ID 4742:
![](https://i.imgur.com/ofLLzfu.png)

Внимательнее изучим событие:
![](https://i.imgur.com/Kbkm9i6.png)

Легетимно пароль на машинной учетной записи может менять только NETWORK SERVICE. Зайдём во вкладку system и проверим наличие такого события при помощи фильтров:
![](https://i.imgur.com/9JkCjmV.png)
![](https://i.imgur.com/x53oLFa.png)

Такое событие дейсвительно было, но произошло оно намного раньше, при в введени в домен dc2.

Также такие события можно смотреть при помощи PowerShell:
![](https://i.imgur.com/kIKGz4H.png)

В случае, если произошёл NTDS дамп, то можно увидеть данные выгрузки в Direcrory Service:
![](https://i.imgur.com/IIHDEEk.png)
