# Занятие 6. Базовые атаки и компрометация доменной Windows-инфраструктуры

> - [x] Часть 1. Базовые атаки на инфраструктуру Windows
> > Этап 1. Анализ базы NTDS
> > 1. Бэкап NTDS
> > 
> > 2. Перенос NTDS
> > 
> > 3. Анализ NTDS
> > 
> > Здесь мы получили список хешей
> >
> > Этап 2. Path-the-hash
> > 1. Crackmapexec
> > 
> > 
> > 
> > 2. XFreeRDP
> > 
> > 
> > 
> > 
> > 
> > Этап 3. Атаки на базовые протоколы Windows
> > 
> > 
> > 
> > 
> > 
> > 
> > mitm6
> > 
> > Настройки сетевого адаптера pc1. Было:
> > 
> > Kali Linux. Атака
> > 
> > Настройки сетевого адаптера pc1. Стало:
> > 
> > Создание своего сервера SMB. Не отключая mitm6, создадим SMB сервер:
> > 
> > Создание своего сервера SMB. Не отключая mitm6, создадим SMB сервер:
> > 
> > 

> - [x] Часть 2. Эксплуатация уязвимостей контроллера домена
> > 1. Проведем поиск по уязвимости zerologon и найдём множество репозиториев на github, в том числе и с эксплойтами
> > 2. Скачаем один из них
> > 
> > 3. Перейдем в скачанную папку и прочитаем README
> > 
> > 4. Нам предлагают использовать конструкцию для вызова эксплойта. Используем команду
> > 
> > 5. Скрипт обнулил пароль машинной учетной записи контроллера домена. Воспользуемся этим, чтобы сдампить NTDS с помощью secretsdump
> > 6. Команда не найдена. Значит, нужно скачать этот инструмент. Он находится в составе пакета пентестерских утилит impacket
> > 7. Перейдём в impacket/examples и выполним оттуда команду
> > 
> > 8. С помощью полученных хешей учетных данных можно выполнять команды от любого пользователя
> > 

> - [x] Часть 3. Поиск следов эксплуатации уязвимостей
> > 1. Проверим журнал System, увидим ошибку Netlogon
> > 
> > 2. Проверим Security, увидим событие 4742
> > 3. Внимательно проанализируем событие
> > 
> > 4. Найдём событие 5823 в журнале System с помощью фильтра
> > 5. Событие есть, но оно произошло намного раньше
> > 
> > Можно искать события с помощью PowerShell:
> > 
> > 6. Если происходит дамп NTDS, то можно увидеть данные выгрузки в журнале Direcrory Service
> >