# Windows Server and Active Directory / Операционная система Windows и Active Directory
## Занятие 1
Oracle Virtualbox установлен
Windows Server 2016-1 (английская версия), Windows Server 2016-2 (англ версия), Windows 10 установлены и Mikrotik импортирован
На Mikrotik настроен сетевой адаптер локальной сети
На Mikrotik настроен NAT

## Занятие 2
Статические адреса настроены на двух WinServer;
Статический адрес 192.168.10.200 на DC1
Статический адрес 192.168.10.201 на DC2
Имена компьютеров Winserver и Win10 настроены (dc1, dc2, pc1);
Настройка имени на сервере DC1
Настройка имени на сервере DC2
Настройка имени на сервере РС1
На оба WinServer установлены роли AD, DHCP, DNS;
Роли на сервера DC1
Роли на сервера DC2
WinServer en сконфигурирован как основной контроллер домена hackeru.local;

WinServer ru сконфигурирован как второстепенный контроллер домена;

Win10 внесён в домен.

## Занятие 3
Применён скрипт newadusergroups.ps1 (созданы OU, пользователи и группы).
По итогу в домене будет такая структура объектов:

## Занятие 4
DHCP сервер сконфигурирован на DC1;
DHCP сервер сконфигурирован на DC2 (отказоустойчивость);
Создана групповая политики расширенного логирования;
Политика применена на контейнер контроллеров домена;
Политика применена на контроллеры домена.

## Занятие 5
Создана сетевая папка "Share" на контроллере домена DC1;
Папка видна с DC2
К сетевой папке примены настройки аудита удаления файлов;
От имени любого пользователя, работающего на Win10, проведено удаление вложенных файлов/папок из сетевой папки;
В журнале событий найдены события удаления.
В домене развернута роль DFS.
Создана папка \\cyber-ed.local\DFS
Внутри папки \\cyber-ed.local\DFS созданы папки отделов
Настроено распределение прав работников. Работники HR могут заходить и вносить изменение только в свою папку, а другие папки доступа нет.
Администратор имеет доступ на изменение во все папки.
Пример настроки прав доступа на примере папки Buhg
Создание различнх политик безопасности:
Создание политики защиты от Mimikatz
Настроим политику так, чтобы только у администратора и ADMPetr были права отладки
Отключение WDigest
Защита LSA от подключения сторонних модулей
Включение аудита командной строки и powershell
Активируем параметр “Включить командную строку в события создания процессов”
Выберем пункт “Включить ведение журнала и модулей” и включим этот параметр для содержимого Microsoft.Powershell.*

## Занятие 6
Проведён бэкап файла NTDS;
Бэкап перекинут на Kali linux;
Просмотрено содержимое файла с помощью secrestdump;
Быстрое сканирование сети и обнаружение хостов, как либо взаимодействующих с протоколом smb;
Выполнение команды "whoami" от имени пользователя на удаленной машине посредством командной строки;
Выполнение команды "ping 8.8.8.8" от имени пользователя на удаленной машине посредством командной строки;
Выполнение команды "shutdown -P" от имени пользователя на удаленной машине посредством командной строки;
//После этой команды сервер выключился, чего и мы и ожидали.
Просмотр списка сетевых папок, доступных пользователю ADMPetr;
Запуск cmd windows для удаленной передачи команд на удаленный хост;

Загружен .exe или .msi файл с Kali Linux на рабочий стол одного из пользователей win10;
Подключились к Win10 использую HASH пароля
На Kali была расшарена папка Desktop
Подключившись к Win10 используя HASH пароль, проверяем расшаренную папку и видим там файл .exe
Скачиваем файл

Удалось подключиться с Kali по RDP на Win10;
Изменение реестра на Win10
Подключение

Responder
Атаки на базовые протоколы Windows
Проведем сканиерование сети (всех доступных нам хостов, для понимания, где мы находимся)
Проводим анализ трафика в сети
Начало атаки
Произведен перехват логина и HASH пароля учетной записи ADMPetr
Произведен перехват логина и HASH пароля учетной записи ADMIgor
Произведен перехват логина и HASH пароля учетной записи Olga

Mitm6
Запущена атака
На Win10 изменился адрес DNS сервера
Разворачиваем на kali smbserver
Заходим с Win10 на расшаренный ресурс
Произведен перехват логина и HASH пароля учетной записи Olga
Произведен перехват логина и HASH пароля учетной записи ADMIgor
Произведен перехват логина и HASH пароля учетной записи ADMPetr

## Занятие 7
Проведена атака zerologon;
С сайта github скачали код, спозволяющий провести атаку
Провели сканирование сети, с целью обнаружения домен-контроллера
Аутентификация проведена
Копия NTDS базы получена и просмотренна удаленно
Найдены события, подтверждающие факт компрометации домена.
Событие 5805
Событие 4742