## Занятие 6. Базовые атаки и компрометация доменной Windows-инфраструктуры
## Задание к практической работе 6.1:
1) Провести анализ базы NTDS
2) Выполнить атаку “Path-the-hash”
3) Реализовать атаки на базовые протоколы Windows

Бэкап NTDS. Набор команд активирует процесс Install From Media, позволяющий сделать копию NTDS с необходимыми ветками реестра. Рисунок 1 ниже.
Рисунок 1

Перенесли NTDS на kali с помощью SMB. Зашли с kali на Win по SMB, на рисунке 2 продемонстрированы команды.
Рисунок 2

Анализ NTDS. Скачаем impacket для анализа дампа, рисунок 3 ниже.
Рисунок 3

Установили python3-pip, рисунок 4 ниже.
Рисунок 4

Выполнили pip install ., рисунок 5 ниже.
Рисунок 5

Выполнили команду на рисунке 6. Указали ветку реестра, с помощью ее можем прочитать NTDS, LOCAL - для локального анализа NTDS.
Рисунок 6

Path-the-hash. С помощью crackmapexec сканируем сеть и обнаруживаем хостов. Рисунок 7 ниже.
Рисунок 7

Так же можно выполнять команды от имени пользователя на удаленной машине. Рисунок 8 ниже.
Рисунок 8

На рисунке 9 можно смотреть список сетевых папок, доступных конкретному пользователю. Рисунок ниже.
Рисунок 9

Smbexec позовляет запустить cmd windows для удаленной передачи команд. Рисунок 10 ниже.
Рисунок 10

XFreeRDP. С хешем можно зайти по RDP. Включили удаленный доступ по RDP на dc1 и дали доступ администраторам, рисунок 11 ниже.
Рисунок 11

Заходим на dc1, рисунок 12 ниже.
Рисунок 12

Подтвердили сертификат, рисунок 13 ниже.
Рисунок 13

Действует политика restricted admin, рисунок 14.
Рисунок 14

Изменили параметр реестра на dc1, рисунок 15 ниже.
Рисунок 15

Пустили с помощью хеша, рисунок 16 ниже.
Рисунок 16

Запустили анализ Responder, рисунок 17 ниже.
Рисунок 17

Обратились к несуществуемому сетевому ресурсу, рисунок 18 ниже.
Рисунок 18

Анализатор видит LLNMR, NBNS запросы, рисунок 19 ниже.
Рисунок 19

Запустили responder, где w - отравление WPAD, F - принуждение использовать старые протоколы аутентификации, v - вывод подробной информации(в т.ч. перехваченного хеша). Рисунок 20 ниже.
Рисунок 20

Пользователь снова проходит по несуществующему пути, рисунок 21 ниже.
Рисунок 21

Перехватывание аутентификационного токена, рисунок 22 ниже.
Рисунок 22

Mitm6. Атака имитирует DHCPv6 сервер и отправляет на компьютеры в сети параметры IPv6, которые используются в приоритете над IPv4 при отправке компьютеров данных по сети.

Настройки сетевого адаптера pc1 до атаки, рисунок 23.
Рисунок 23

Выполнили атаку, рисунок 24.
Рисунок 24

Настройки сетевого адаптера pc1 после атаки, рисунок 25.
Рисунок 25

Создание нового сервера SMB, рисунок 26 ниже.(к сожалению, забыл сначала сделать скриншот без перехваченных аутентификаций, поэтому в этом скриншоте сразу и создание и перехват идет).
Рисунок 26

На Win10 через проводник заходим в домен, рисунок 27 ниже.
Рисунок 27

Видим данные аутентификации на рисунке 28 ниже.
Рисунок 28
## Задание к практической работе 6.2:
1) Провести эксплуатацию уязвимостей контроллера домена
2) Найти следы эксплуатации уязвимостей

Для начала активировали потилику аудита машинных УЗ и применили к контроллерам домена, рисунок 29 ниже.
Рисунок 29

Скачали один из них, рисунок 30.
Рисунок 30

Использовали конструкцию для вызова эксплойта, рисунок 31 ниже.
Рисунок 31

Прочитали файл README и видим хеш, рисунок 32 ниже.
Рисунок 32

Скачали инструмент, рисунок 33 ниже.
Рисунок 33

Выполнили команду и получили хеши учетных данных, рисунок 34 ниже.
Рисунок 34

Далее можем выполнять команды от любого пользователя, рисунок 35 ниже.
Рисунок 35

## Часть 3. Поиск следов эксплуатации уязвимостей

Проверили журнал System и увидели ошибку Netlogon, рисунок 36 ниже.
Рисунок 36

Проверили Security и увидели событие 4742, рисунок 37 ниже.
Рисунок 37

Более детально увидели событие и видно "ANONYMOUS LOGON", это выглядит странно. Также видно поле password last set - это значит что, пароль был изменен. Рисунок 38 ниже.
Рисунок 38

Для удобства по фильтру отберем событие 5823 в журнале System. Это событие означает, что система успешно изменила свой пароль на контроллере домена. Рисунок 39 ниже.
Рисунок 39

Также можно искать события с помощью PowerShell, рисунок 40 ниже.
Рисунок 40