---
# System prepended metadata

title: Катенин Владимир - Windows Basic. Занятие 3. ААА в Windows

---

# Катенин Владимир - Windows Basic. Занятие 3. ААА в Windows
[toc]
## Практическая работа №3 ААА в Windows
### Часть 1. Анализ памяти Lsass.exe
Проанализируем содержимое памяти процесса. Сделаем дамп, передадим на Kali и проанализируем с помощью mimikatz. Для более детального анализа для начала проведём эмуляций различных пользователей на Windows 10.

1.1 Зайдём под учетной записью Olga

![](https://imgur.com/vBksSSQ.jpg)

---
1.2 Попробуем обратиться к ресурсам домена

![](https://imgur.com/gtJRsJ0.jpg)

---
1.3 Выходим из учетной записи Olga

![](https://imgur.com/FL6C0vH.jpg)

---
1.4 Зайдём под учетной записью Petr

![](https://imgur.com/VJiy0E1.jpg)

---
1.5 Запускаем командную строку от имени администратора

![](https://imgur.com/4ML2fcZ.jpg)

---
1.6 Так как Petr не является администратором PC1, введем данные ADMpetr

![](https://imgur.com/DMw0jPW.jpg)

---
1.7 Введём команду whoami, чтобы проверить, кто мы

![](https://imgur.com/pyluW9K.jpg)

---
1.8 Запустим диспетчер задач от имени администратора ADMpetr

![](https://imgur.com/Czw1ZKU.jpg)

---
1.9 Откроем подробное представление, перейдём в подробности и найдём процесс lsass.exe. Нажмем ПКМ по процессу lsass.exe и выберем пункт "создать дамп файла"

![](https://imgur.com/uDMVUQ1.jpg)

---
1.10 Дамп создан. Запоминаем его расположение

![](https://imgur.com/7xxIV2s.jpg)

---
1.11 Теперь используем kali linux, чтобы включить ssh и передать файл. Откроем консоль, повысим привилегии с помощью sudo -i

![](https://imgur.com/qaajgIB.jpg)

---
1.12 Прописываем ip адрес и gateway на интерфейс eth0 в /etc/network/interfaces

![](https://imgur.com/PPZqwgw.jpg)

---
1.13 Перезагружаем networking.service и проверяем присвоенный ip адрес

![](https://imgur.com/2p0wSkw.jpg)

---
1.14 Включаем сервис ssh на kali linux

![](https://imgur.com/jaFvag8.jpg)

---

1.15 Вернёмся в Windows 10 и с помощью командной строки, запущенной от имени ADMpetr передадим файл на kali. Нужно подтвердить fingerprint (yes)

![](https://imgur.com/cOeBVNP.jpg)

---

1.16 Введём пароль kali и увидим, что файл передан

![](https://imgur.com/HMGMMM0.jpg)

---
1.17 Проверим, что на kali linux файл присутствует

![](https://imgur.com/l6Q1AbR.jpg)

---
1.18 Переключаемся в директорию с lsass и скачиваем скрипт pypykatz

![](https://imgur.com/SYFlwPi.jpg)

---
1.19 Переходим в директорию pypycatz и выполняем скрипт, применив его к скачанному ранее дампу

![](https://imgur.com/DQ6NECD.jpg)

---
1.20 Увидим учетные данные, которые скрипт достал из процесса lsass.exe

![](https://imgur.com/iptvGvm.jpg)

Память процесса lsass будет содержать учетные данные и ADMpetr, и Petr, так как эти пользователи были активны в момент создания дампа процесса

---