---
# System prepended metadata

title: Занятие 3. ААА в Windows

---

# Занятие 3. ААА в Windows
- [x] Анализ памяти Lsass.exe
> 1. Зайдём под учетной записью Ольги
> ![](https://i.imgur.com/LoNc9yK.png)
> 2. Попробуем обратиться к ресурсам домена
> ![](https://i.imgur.com/1DlMPyN.png)
> 3. Выйдем из учетной записи Ольги
> ![](https://i.imgur.com/pggPWxc.png)
> 4. Зайдём под учетной записью Петра
> ![](https://i.imgur.com/zmzQBM7.png)
> 5. Запустим командную строку от имени администратора
> ![](https://i.imgur.com/Ux6Y5RX.png)
> 6. Так как Petr не является администратором PC1, введем данные ADMPetr
> ![](https://i.imgur.com/TCSDdYu.png)
> 7. Введём команду whoami, чтобы проверить, кто мы
> ![](https://i.imgur.com/zD0ZUqC.png)
> 8. Теперь запустим диспетчер задач от имени администратора ADMPetr
> ![](https://i.imgur.com/ojK9hLi.png)
> 9. Используем данные ADMpetr
> ![](https://i.imgur.com/nnRUe8d.png)
> 10. Откроем подробное представление, перейдём в подробности и найдём процесс lsass.exe
> ![](https://i.imgur.com/xeoR9wr.png)
> 11. Нажмем ПКМ по процессу lsass.exe и выберем пункт "создать дамп файла"
> ![](https://i.imgur.com/2J4q5kl.png)
> 12. Дамп создан. Запомним его расположение
> ![](https://i.imgur.com/DwXLKQt.png)
> 13. Произошла ошибка. Дамп не сохранился из-за блокировки Windows Defender. Открыл настройки Windows Defender'а и исправил ситуацию. Заново сделал дамп файла.
> ![](https://i.imgur.com/6gPi8P0.png)
![](https://i.imgur.com/Wlr77BY.png)
> 14. Теперь используем kali linux, чтобы включить ssh и передать файл. Откроем консоль
> 15. Включим сервис ssh
> ![](https://i.imgur.com/zD0wr7a.png)
> 16. Вернёмся в Win10 и с помощью командной строки, запущенной от имени ADMPetr передадим файл на kali. Введём пароль kali и увидим, что файл передан
> ![](https://i.imgur.com/yilqAqO.png)
> 17. Проверим, что на kali файл присутствует
> ![](https://i.imgur.com/G9mdIzz.png)
> 18. Переключимся в директорию с lsass и скачаем скрипт pypykatz
> ![](https://i.imgur.com/VbB4OVT.png)
> 19. Перейдём в директорию pypycatz и выполним скрипт, применив его к скачанному ранее дампу
> ![](https://i.imgur.com/wYY7aLS.png)
> 20. Увидим учетные данные, которые скрипт достал из процесса lsass
> ![](https://i.imgur.com/Fwwjdfb.png)
> Память процесса lsass будет содержать учетные данные и ADMPetr, и Petr, и Olga, так как эти пользователи были активны в момент создания дампа процесса.
