# Занятие 6. Базовые атаки и компрометация доменной Windows-инфраструктуры
# Практическая работа №6.1 Базовые атаки на Windows-инфраструктуру.
# Задание:

1) Провести анализ базы NTDS

2) Выполнить атаку “Path-the-hash”

3) Реализовать атаки на базовые протоколы Windows
___
# Часть 1. Базовые атаки на инфраструктуру Windows
* 1.1 Бэкап NTDS
* 1.2 Перенос NTDS
* 1.3 Анализ NTDS
Скачаем impacket,находясь в домашней директории
После установки пройдем в директорию examples и выполнить команду:python3 secretsdump.py -ntds /home/kali/temp/Active\ Directory/ntds.dit -system /home/kali/temp/registry/SYSTEM LOCAL

* Этап 2. Path-the-hash
* 2.1 Crackmapexec
Выполним команду crackmapexec smb 192.168.10.0/24
После выполним команду от имени пользователя на удаленной машине с помощью командной строки

* 2.2 XFreeRDP
Включим удалённый доступ по RDP на dc1, доступ дадим администраторам домена

Запустим freerdp

Заходим на dc1 и подтверждаем сертификат

Изменим параметр реестра на dc1

В event viewer видим выполнение


И успешно заходим. xfreerdp пускает нас с помощью хеша

Этап 3. Атаки на базовые протоколы Windows
Запустим responder

Подключимся к учетной записи Ольги на пк1

Пытаемся пройти по несуществующему пути

После попытки пройти по несущствующему адресу анализатор видит запросы
Перейдем в режим атаки. Запустим responder

Снова пройдем по несущесвующему пути
Видим, что респондер перехватывает аутентификационный токен

MITM6
Устанавливаем mitm6
Запустим mitm
Выполним атаку

После атаким появилась подозрительная запись в днс-серверы
Откроем консоль и создадим SMB сервер
Зайдем на домен pt.local и увидим подставную папку SMB
Можем видеть,что получается при выводе программы

# Практическая работа №6.2 Компрометация доменной Windows-инфраструктуры.
# Задание:

1) Провести эксплуатацию уязвимостей контроллера домена

2) Найти следы эксплуатации уязвимостей
___
Активируем политику аудита машинных учетных записей
Применим настройку

# Часть 2. Эксплуатация уязвимостей контроллера домена
Скачаем эксплойт для zerologon
Откроем README.md
Используем конструкцию для вызова экспойла

Скрипт обнулил пароль машинной учетной записи контроллера домена. Воспользуемся этим, чтобы сдампить NTDS с помощью secretsdump
С помощью полученных хешей учетных данных можно выполнять команды от любого пользователя

# Часть 3. Поиск следов эксплуатации уязвимостей
Найдем ошибку Netlogon
Проверим журнал “Security”, увидим событие 4742
Проанализируем
Увидим ANONYMOUS LOGON, что является досточно подозрительным, а также увидим заполненное поле password last set - это значит, что пароль был изменён.
Найдем событие 5823.
Событие есть,но произошло намного раньше,значит оно легитимное.

Если происходит дамп NTDS, то можно увидеть данные выгрузки в журнале Direcrory Service