Интернетмагазин

первичное имя службы (SPN). В зависимости от стратегии Красной команды 
первый шаг при атаке AD – разведка среды, которая может начаться только 
со сбора основной информации из домена. Один из способов сделать это без 
шума – использовать скрипты PowerShell от PyroTek3 (
https://github.com/Py-
roTek3/PowerShell-AD-Recon). 
Для этой базовой информации можно использовать команду
Get-PSADForestInfo
Следующим шагом может быть выяснение того, какие SPN доступны. Чтобы 
получить все имена из AD, можно использовать команду
Discover-PSInterestingServices -GetAllForestSPNs
Это даст вам большое количество информации, которую можно использо-
вать для продолжения атаки. Если вы хотите знать только те учетные записи 
служб, которые в настоящее время настроены с SPN, то также можете исполь-
зовать команду
Find-PSServiceAccounts -Forest
Можно использовать mimikatz для получения информации о мандатах Kerbe-
ros, применяя команду
mimikatz # kerberos::list

---

Дальнейшее распространение 
 
155
Еще один подход – атаковать AD, эксплуатируя уязвимость MS14-068 (9). 
Хотя это и старая уязвимость (ноябрь 2014 г.), она очень мощная, поскольку по-
зволяет пользователю с действующей учетной записью домена получать при-
вилегии администратора путем создания поддельного 
сертификата учетной
записи привилегии (PAC), который содержит членство учетной записи ад-
министратора внутри запроса на мандат (TG_REQ), отправленного в 
центр рас-
пределения ключей (KDC).
Удаленный доступ к реестру
Реестр – сердце Windows, поскольку он дает контроль как над аппаратным, 
так и над программным обеспечением компьютера. Редактирование реестра 
обычно используется как часть других методов и тактик дальнейшего рас-
пространения. Его также можно использовать в качестве метода, если у зло-
умышленника уже есть удаленный доступ к компьютеру жертвы. Реестр можно 
редактировать удаленно, чтобы отключить механизмы защиты, автозапуск та-
ких программ, как антивирус, и установить конфигурации, поддерживающие 
бесперебойное существование вредоносных программ. Есть очень много спо-
собов, с помощью которых хакер может получить удаленный доступ к компью-
теру для редактирования реестра. Некоторые из них мы уже обсуждали.
Ниже приведен один из методов реестра, используемых в процессе взлома: