---
# System prepended metadata

title: Практическая работа №6

---

Практическая работа №6
==
Практическая работа №6.1
==
# Часть 1. Базовые атаки на инфраструктуру Windows
## Этап 1. Анализ базы NTDS
Создадим бекап базы NTDS:
![](https://i.imgur.com/GbeL239.png)

Скачаем его на кали:
![](https://i.imgur.com/lZ1b99I.png)
  
С помощью secretsdump смотрим структуру NTDS:
![](https://i.imgur.com/8fijznk.png)

## Этап 2. Path-the-hash
Запустим команду на dc1  с помощью CME:
![](https://i.imgur.com/JGxZW38.png)

Запустим командную строку с помощью smbexec:
![](https://i.imgur.com/jrAWOUJ.png)

И с помощью psexec:
![](https://i.imgur.com/9t0FS6W.png)

Разрешим удаленный доступ администраторам домена:
![](https://i.imgur.com/gaSx7f9.png)

Запустили xfreerdp:
![](https://i.imgur.com/UWxJDZo.png)

Изменим параметр реестра на dc1:
![](https://i.imgur.com/Ghi8e8i.png)

Посмотрим события аудита PowerShell:
![](https://i.imgur.com/lH0Hsbl.png)

После спокойно подключаемся по RDP:
![](https://i.imgur.com/FYZAJ8M.png)

## Этап 3. Атаки на базовые протоколы Windows
Запускаем responder:
![](https://i.imgur.com/QfOUziA.png)

На pc1 запрашиваем папку с опечаткой и видим перехваченные запросы:
![](https://i.imgur.com/iRvPR3E.png)

Теперь включаем responder в режиме атаки:
![](https://i.imgur.com/Rl2rsPP.png)

Переходим по неверному сетевому пути, видим окно аутентификации:
![](https://i.imgur.com/zQHbwpx.png)

В этом время responder перехватывает аутентификационный токен:
![](https://i.imgur.com/3oGb3W0.png)

Выполним атаку с помощью  mitm6, настройки на pc1 до:
![](https://i.imgur.com/M9dhCxt.png)

Запускаем mitm6:
![](https://i.imgur.com/iXiiEKq.png)

Настройки после, ipv6 изменен:
![](https://i.imgur.com/7yKB9EF.png)

Создадим поддельный SMB сервер, перейдем на pt.local в pc1:
![](https://i.imgur.com/fp9PWzz.png)

Аутентификационные данные украдены:
![](https://i.imgur.com/HtxzIpu.png)

Практическая работа №6.2
==
# Часть 2. Эксплуатация уязвимостей контроллера домена
Изменим Default Domain Controller Policy:
![](https://i.imgur.com/QxjAOhN.png)

Запустим set_empty_pw, успешно:
![](https://i.imgur.com/3wy5w82.png)

Получаем дамп NTDS:
![](https://i.imgur.com/gCIqr9r.png)

Можем выполнять действия от любого пользователя:
![](https://i.imgur.com/pk1VyJY.png)

# Часть 3. Поиск следов эксплуатации уязвимостей
Видим ошибку NETLOGON в журнале system:
![](https://i.imgur.com/K2eHhvH.png)

В журнале security видим событие с ID 4742:
![](https://i.imgur.com/pKOB32j.png)

Найдем событие 5823 недельной давности:
![](https://i.imgur.com/6rwVyNS.png)

Найдем событие выгрузки NTDS:
![](https://i.imgur.com/Xr95Tqd.png)

