Интернетмагазин

 
127
другой пользователь, у которого имелся доступ к этому серверу c правами ад-
министратора.
Вредоносное ПО
в локальной 
системе
Фишинговая почта
с вредоносным
вложением
У Алекса и Сандры есть хеш, 
используемый для установления 
соединения
Алекс
Вредоносное ПО перемещается
на компьютер Сандры под видом Фреда
Сандра
Вредоносное ПО попадает
на веб-сервер под видом Сандры
Рис. 6.3
Важно подчеркнуть, что учетную запись, полученную злоумышленником 
локально, нельзя использовать для дальнейших атак. Приведем в качестве 
примера предыдущую диаграмму. Если учетная запись администратора доме-
на никогда не использовалась для аутентификации на рабочих станциях Алек-
са и Сандры, то она будет недоступна злоумышленнику, который скомпроме-
тировал эти станции.
Как упоминалось ранее, для успешного осуществления атаки Pass-the-hash 
необходимо получить доступ к учетной записи с правами администратора 
в системе Windows. Как только Красная команда получит доступ к локальному 
компьютеру, она может попытаться украсть хеш из таких мест, как:

база данных SAM (Security Accounts Manager – диспетчер учетных запи-
сей безопасности);

память процесса LSASS (Local Security Authority Subsystem Service – сер-
вис проверки подлинности локальной системы безопасности);

база данных Active Directory (только контроллеры доменов);

хранилище Credential Manager (CredMan);

секреты локальной системы безопасности (LSA) в реестре.

---

128  Охота на пользовательские реквизиты 
В следующем разделе вы узнаете, как осуществить эти действия в лабора-
торной среде перед выполнением упражнения.
в
злом