###### tags: `Windows Basic`
# Windows_Basic-Омаров_Джамалутин-Практика-3
*Выполнил Омаров Джамалутин*
## Практическая работа №3 ААА в Windows
### Часть 1. Анализ памяти Lsass.exe
Проанализируем содержимое памяти процесса. Сделаем дамп, передадим на Kali и проанализируем с помощью mimikatz. Для более детального анализа для начала проведем эмуляции различных пользователей на Windows 10 Pro.
Пароли для пользователей можно найти в файле скрипта, который добавлял OU, пользователей и группы во практике №2.

1.1 Зайдем под учетной записью Olga;
1.2 Попробуем обратиться к ресурсам домена;
1.3 Выйдем из учетной записи Olga;
1.4 Зайдем под учетной записью Petr;
1.5 Запустим командную строку от имени администратора;
1.6 Так как Petr не является администратором, введем данные ADMPetr;
1.7 Введем команду "whoami", чтобы проверить кто мы;
1.8 Теперь запустим диспетчер задач от имени администратора ADMPetr, используя его данные для входа;
1.9 Откроем подробное представление, перейдем в подробности и найдем процесс lsass.exe;
1.10 Нажимаем ПКМ по процессу lsass.exe и выберем пункт "создать файл дампа";
1.11 Дамп создан. Запомним его расположение;
1.12 Теперь используем Kali Linux, чтобы включить ssh и передать файл. Откроем консоль и повысим привилегии при помощи команды "sudo -i";
1.13 Включим сервис ssh;
1.14 Вернемся на Windows 10 Pro, с помощью командной строки, запущенной от имени ADMPetr передадим файл на Kali Linux. Необходимо подтвердить fingerprint (yes);
У меня ip адрес Kali Linux 192.168.10.51.

1.15 Введем пароль kali и увидем, что файл передан;
1.16 Проверим, что на Kali Linux файл присутствует;
1.17 Переключимся в директорию с lsass и скачаем скрипт pypykatz. Для того, чтобы скачать скрипт с github, нам необходим выход в интернет:
* Открываем VirtualBox
* Выбираем настройки Kali Linux
* Выбираем Сеть
* Добавляем новый адаптер Nat
* После чего в консоли командой "ip a" проверяем, назначен ли еще один ip для выхода в сеть Интернет
1.18 Перейдем в директорию pypykatz и выполним скрипт, применив его к скаченному ранее дампу;
1.19 Мы увидим учетные данные, которые скрипт достал из процесса lsass;
Память процесса lsass будет содержать учетные данные и ADMPetr, и Petr, так как эти пользователи были активны в момент создания дампа процесса. Под активностью понимается не только прямая сессия с ПК, но и действия, совершаемые по сети, а так же запуск процессов на ПК (как локальный запуск, так и удаленный).
### Часть 2. Кеширование данных в Windows
Для того чтобы посмотреть кеш, скачал SysinternalsSuite - коллекцию инструментов от Microsoft для различных диагностик и устранения проблем в различных областях.
2.1 Запустим команду "PsExec64.exe -i -s regedit.exe", где:
* regedit.exe - это редактор реестра
* PsExec64.exe - это утилита для удаленного выполнения команд
2.2 Запустился реестр -> В папке Cache мы можем увидеть кешированные учетные данные пользователей;
Был осуществлен вход пользователями: Petr, Olga, Administrator, а так же в консоль и диспетчер задач с пользователя Petr от имени администратора ADMPetr. Поэтому присвоено не одно значение.