Практическая работа №6
==
Практическая работа №6.1
==
# Часть 1. Базовые атаки на инфраструктуру Windows
## Этап 1. Анализ базы NTDS
Создадим бекап базы NTDS:

Скачаем его на кали:

С помощью secretsdump смотрим структуру NTDS:

## Этап 2. Path-the-hash
Запустим команду на dc1 с помощью CME:

Запустим командную строку с помощью smbexec:

И с помощью psexec:

Разрешим удаленный доступ администраторам домена:

Запустили xfreerdp:

Изменим параметр реестра на dc1:

Посмотрим события аудита PowerShell:

После спокойно подключаемся по RDP:

## Этап 3. Атаки на базовые протоколы Windows
Запускаем responder:

На pc1 запрашиваем папку с опечаткой и видим перехваченные запросы:

Теперь включаем responder в режиме атаки:

Переходим по неверному сетевому пути, видим окно аутентификации:

В этом время responder перехватывает аутентификационный токен:

Выполним атаку с помощью mitm6, настройки на pc1 до:

Запускаем mitm6:

Настройки после, ipv6 изменен:

Создадим поддельный SMB сервер, перейдем на pt.local в pc1:

Аутентификационные данные украдены:

Практическая работа №6.2
==
# Часть 2. Эксплуатация уязвимостей контроллера домена
Изменим Default Domain Controller Policy:

Запустим set_empty_pw, успешно:

Получаем дамп NTDS:

Можем выполнять действия от любого пользователя:

# Часть 3. Поиск следов эксплуатации уязвимостей
Видим ошибку NETLOGON в журнале system:

В журнале security видим событие с ID 4742:

Найдем событие 5823 недельной давности:

Найдем событие выгрузки NTDS: