---
# System prepended metadata

title: Windows_Basic-Горбаконь_Кирилл-Практика-6
tags: [Windows]

---

###### tags: `Windows`

# Windows_Basic-Горбаконь_Кирилл-Практика-6
## *Базовые атаки и компрометация доменной Windows-инфраструктуры.*
### Часть 1. Базовые атаки на инфраструктуру Windows.
#### Этап 1. Анализ базы NTDS.
* Захожу в командную строку от имени администратора и ввожу следующие команды.
 
![](https://i.imgur.com/yDbcBpT.png)

* С помощью SMB захожу на сервер Win с Kali. После чего копирую файлы на Kali.

![](https://i.imgur.com/wKqCt7I.jpg)

* Для анализа дампа для начала нужно скачать impacket. После установки нужно пройти из директории impacket в директорию examples (она внутри папки импакета) и выполнить следующую команду:

![](https://i.imgur.com/fd35Q7A.png)

---

#### Этап 2. Path-the-hash.

* Сканирую сеть для обнаружения хостов, как либо взаимодействующих с протоколом smb.

![](https://i.imgur.com/loiK7SW.png)

![](https://i.imgur.com/7Hq36Wv.jpg)

* Запускаю утилиту smbexec.

![](https://i.imgur.com/8iNb3Nr.png)

---

* Включаю удалённый доступ по RDP на dc1, доступ даю администраторам домена.

![](https://i.imgur.com/LDgnRrb.png)

* Пробую зайти на dc1, подтверждаю сертификат.

![](https://i.imgur.com/MN3EUsc.jpg)

* Вход по RDP успешно выполнен.

![](https://i.imgur.com/XuPl354.png)

---

#### Этап 3. Атаки на базовые протоколы Windows.

* Запускаю анализ через Responder.
![](https://i.imgur.com/Pi2uE9N.png)

* Доменный ПК пытается обратиться к несуществующему сетевому ресурсу.

![](https://i.imgur.com/qIPO6hG.png)

* Анализатор видит LLNMR, NBNS запросы.

![](https://i.imgur.com/HZsDm0K.jpg)

* Провожу атаку.

![](https://i.imgur.com/RvIMlGf.png)

* Пользователь снова проходит по несуществующему пути. Responder притворяется этим ресурсом, поэтому видим окно аутентификации.

![](https://i.imgur.com/1AhFxcg.png)

* Responder перехватывает аутентификационный токен.

![](https://i.imgur.com/DnKcEkU.jpg)

---

* Устанаваливаю mitm6.

![](https://i.imgur.com/PPueDuP.png)

* Выполняю атаку.

![](https://i.imgur.com/RS4QAEH.png)

* Настройки сетвеого адаптера pc1 до атаки:

![](https://i.imgur.com/lZDdtjA.png)

* Настройки сетвеого адаптера pc1 после атаки:

![](https://i.imgur.com/p5N7gDP.png)

* Не отключая mitm6 создаю SMB сервер.

![](https://i.imgur.com/tS2FffE.jpg)

* На Win10 заходим на наш домен через проводник.

![](https://i.imgur.com/zbGGMn6.png)

* Видим аутентификационные данные в выводе программы.

![](https://i.imgur.com/nMjeFhw.jpg)

### Часть 2. Эксплуатация уязвимостей контроллера домена.

* Активирую политику аудита машинных учетных записей и применяю к контроллерам домена.

![](https://i.imgur.com/XlaFbJp.png)

* Устанавливаю эксплойт для zerologon.

![](https://i.imgur.com/3qMFOyT.png)

* Перехожу в скачанную папку и читаю README.

![](https://i.imgur.com/WHESZDA.png)

* Нам предлагают использовать консткукцию  для вызова эксплойта. Использую команду.

![](https://i.imgur.com/15duS3f.png)

* Скрипт обнулил пароль машинной учетной записи контроллера домена. Воспользуюсь этим, чтобы сдампить NTDS с помощью secretsdump.

![](https://i.imgur.com/P0lPERz.png)

* Команда не найдена. Скачиваю этот инструмент.

![](https://i.imgur.com/pkp3yKm.png)

* Повторно выполняю команду. 

![](https://i.imgur.com/r1sbJIX.png)

* С помощью полученных хешей учетных данных можно выполнять команды от любого пользователя.

![](https://i.imgur.com/jWcksFl.png)

---

### Часть 3. Поиск следов эксплуатации уязвимостей.

* Проверяю журнал System, нахожу ошибку Netlogon.

![](https://i.imgur.com/hzfa838.png)

* Проверяю Security, нахожу событие 4742.

![](https://i.imgur.com/WhMG2HX.png)

* Внимательно анализирую событие.

![](https://i.imgur.com/B78I8iO.png)

> В логе можно увидеть заполненное поле password last set -- это значит, что пароль был изменён. При легитимном взаимодействии пароль на машинной учетной записи может менять только NETWORK SERVICE. И, если это происходит, генерируется ещё одно событие с id 5823.

* Нахожу событие 5823 в журнале System с помощью фильтра.

![](https://i.imgur.com/YBjlkCe.png)

* Событие есть, но оно произошло намного раньше.

![](https://i.imgur.com/xVmlVxn.png)

> Если поискать события 4742 за день, когда произошло 5823, то мы их найдём. Это легитимные события, связанные с введением в домен dc2.

*  Если происходит дамп NTDS, то можно увидеть данные выгрузки в журнале Direcrory Service.

![](https://i.imgur.com/EXvF0jX.png)
