🪟 Что такое Windows Authentication Architecture? Представьте компанию на 1000 компьютеров. Каждый день сотрудники: — входят в Windows под своими учётными записями — подключаются к общим папкам — работают с корпоративными серверами — используют доменные ресурсы Но как Windows понимает, кто именно пытается получить доступ? И почему одному пользователю доступ разрешён, а другому — нет? 📌 За это отвечают механизмы Windows Authentication Architecture. Это архитектура аутентификации Windows, которая проверяет личность пользователей и служб, создаёт сеансы входа и участвует в формировании контекста безопасности. ⚡️ Основные компоненты: — Winlogon — управляет процессом входа в Windows — LogonUI — отображает экран авторизации — LSASS — обеспечивает работу механизмов аутентификации — SAM — хранит локальные учётные записи и хеши паролей — Active Directory — централизованно управляет доменными учётными записями — Kerberos / NTLM — протоколы аутентификации 🔐 Как происходит вход в домен? Пользователь вводит логин и пароль. Windows передаёт данные механизму аутентификации. При использовании Kerberos клиент взаимодействует с контроллером домена. После успешной проверки Windows создаёт сеанс входа. Пользователь получает токен доступа (Access Token). 💡 Access Token содержит информацию о пользователе, его группах и привилегиях. Именно этот токен Windows использует при проверке прав доступа к локальным ресурсам. Почему это интересно пентестеру? Потому что ошибки конфигурации и недостаточная защита механизмов аутентификации могут привести к: — компрометации учётных данных — злоупотреблению NTLM-аутентификацией — краже или повторному использованию Kerberos-билетов — повышению привилегий — несанкционированному доступу к доменным ресурсам 🧠 Например: Если злоумышленник получил доступ к материалам аутентификации пользователя, в определённых условиях он может использовать их для доступа к другим ресурсам без знания исходного пароля. С этим связаны техники: — Pass-the-Hash — Pass-the-Ticket — Kerberoasting — NTLM Relay 📌 Поэтому понимание Windows Authentication Architecture — одна из основ пентеста Active Directory. Без знания того, как Windows проверяет пользователей, сложно понять, почему работают многие атаки на доменную инфраструктуру. #infra #ad #windows #authentication #kerberos #ntlm #pentest

🧠 Что такое NBNS?

NBNS (NetBIOS Name Service) — это протокол разрешения имён, который является частью старого механизма NetBIOS.

Его задача:

определить IP-адрес компьютера по его имени внутри локальной сети.

Например: Пользователь хочет открыть:

\\SERVER01\share

Компьютеру нужно понять:

Где находится SERVER01?

Если DNS не отвечает, Windows может использовать NBNS. ⚙️ Как работает NBNS? Компьютер отправляет широковещательный запрос:

Кто такой SERVER01?

Запрос получают устройства в локальном сегменте. Любая машина может попытаться ответить:

SERVER01 = 192.168.1.50

И если ответ принят — Windows попробует подключиться. 💀 Где появляется проблема? Проблема в том, что в старых конфигурациях Windows слишком сильно доверяет таким ответам. Представим: Пользователь ошибся в имени:

\\FILESRV01\docs

Но настоящего сервера нет. Windows отправляет NBNS-запрос:

Кто такой FILESRV01?

Атакующий отвечает:

Это я.

Дальше может произойти попытка NTLM-аутентификации. Схема:

Пользователь
      |
      | NBNS запрос
      |
      ↓
Атакующий
      |
      | Ответ:
      | "Я FILESRV01"
      |
      ↓
NTLM Authentication

🛠 Почему это интересно при пентесте? NBNS позволяет проверить: — используется ли устаревший NetBIOS; — включены ли небезопасные механизмы поиска имён; — можно ли получить NTLM-аутентификацию пользователей; — есть ли условия для дальнейших атак. Именно поэтому инструменты вроде Responder умеют работать не только с LLMNR, но и с NBNS.

🟦 Что такое LLMNR и почему он опасен? Когда мы открываем ресурс в Windows, например:

\\fileserver\documents

компьютеру нужно понять:

"Какой IP-адрес у этого имени?"

Обычно этим занимается DNS. Но что происходит, если DNS не знает ответ? Windows может использовать дополнительные механизмы поиска: — LLMNR — NBNS — mDNS И именно здесь появляется интерес для пентестера. 🧠 Что такое LLMNR?

LLMNR (Link-Local Multicast Name Resolution) — это протокол разрешения имён внутри локальной сети.

Его задача:

помочь компьютерам найти друг друга без участия DNS-сервера.

Например: Пользователь вводит:

\\fileserwer\share

Но такого имени нет в DNS. Тогда Windows отправляет запрос:

Кто такой fileserwer?

Этот запрос получает вся локальная сеть. 💀 Где проблема? Windows доверяет ответу внутри сети. Например: Настоящего сервера нет. Атакующий отвечает:

Я fileserwer.

Windows думает:

Отлично, подключаюсь.

И может попытаться выполнить NTLM-аутентификацию. Схема:

Пользователь
      |
      | "Где fileserwer?"
      |
      ↓
    LLMNR
      |
      ↓
Атакующий отвечает:
"Это я"
      |
      ↓
NTLM Authentication

🛠 Почему это интересно пентестеру? Потому что позволяет проверить: — используется ли LLMNR; — можно ли получить NTLM-аутентификацию; — есть ли условия для NTLM Relay; — насколько правильно настроена внутренняя сеть. #llmnr #ntlm #responder #windows #ad #pentest #infra

Что такое NTLM Relay? В прошлом посте разобрали Responder и увидели типичную цепочку:

LLMNR / NBT-NS
        ↓
Responder
        ↓
NTLM-аутентификация

Теперь следующий логичный вопрос:

Что происходит, если эти данные не подбирать, а попытаться использовать сразу?

Здесь и появляется NTLM Relay. 🔁 Что такое NTLM Relay? NTLM Relay — это техника, при которой атакующий не подбирает пароль, а перенаправляет NTLM-аутентификацию пользователя на другой сервер. Упрощённо:

Пользователь
   ↓
NTLM-аутентификация
   ↓
Атакующий
   ↓
Перенаправление
   ↓
Другой сервер

📌 Главное: пароль при этом может вообще не быть известен. Причём здесь SMB Signing? Если на SMB-сервере:

SMB Signing = Required

классический SMB Relay становится значительно сложнее. Если же:

SMB Signing = Enabled but not required

сервер может принимать неподписанные SMB-сессии, что создаёт условия для relay-атаки. Почему это опасно? Если перенаправить аутентификацию пользователя, у которого есть повышенные права на целевом сервере, атакующий может получить доступ с его привилегиями. Поэтому здесь сразу сходятся несколько тем:

NTLM
   ↓
Responder
   ↓
SMB Signing
   ↓
NTLM Relay
   ↓
Права пользователя

🛡 Как защищаться — требовать SMB Signing; — сокращать использование NTLM; — отключать LLMNR/NBT-NS там, где они не нужны; — использовать принцип минимальных привилегий; — не работать постоянно под административными учётными записями. 📌 Главная мысль

NTLM Relay — это не взлом пароля, а использование уже происходящей NTLM-аутентификации против другого сервиса.

#ntlm #ntlmrelay #smb #responder #windows #ad #pentest

🕵️ Что такое Responder? Когда начинают разбирать внутренний пентест Windows-сети, довольно быстро встречается инструмент Responder. Особенно часто он появляется рядом с такими понятиями: LLMNR → NBT-NS → mDNS → NTLM → Responder

📌 Responder — это инструмент для анализа небезопасных механизмов разрешения имён и NTLM-аутентификации внутри локальной сети.

Проще говоря, он помогает пентестеру проверить, может ли компьютер пользователя по ошибке обратиться не к тому устройству и попытаться передать ему данные для NTLM-аутентификации. 🧠 Откуда вообще появляется проблема? Представим ситуацию. Пользователь пытается открыть:

\\fileserver\docs

Но случайно вводит:

\\filesevrer\docs

DNS не знает такого имени. Windows может попытаться найти устройство другими способами, используя локальные механизмы разрешения имён, например: — LLMNR; — NBT-NS; — в некоторых сценариях mDNS. В сети появляется вопрос:

«Кто такой

filesevrer

?»

И если злоумышленник или пентестер находится в том же сетевом сегменте, он может попытаться ответить:

«Это я».

📌 Что происходит дальше Упрощённо схема выглядит так:

Пользователь
      ↓
Не может найти сервер через DNS
      ↓
LLMNR / NBT-NS запрос
      ↓
Responder отвечает
      ↓
Windows пытается выполнить NTLM-аутентификацию

Именно здесь появляется возможность обнаружить небезопасную передачу NTLM-аутентификационных данных. 💀 Почему это интересно пентестеру? Потому что такая ситуация показывает сразу несколько проблем инфраструктуры: — используются устаревшие механизмы разрешения имён; — рабочие станции доверяют ответам внутри локального сегмента; — используется NTLM; — отсутствует достаточная сегментация сети; — пользователи и сервисы могут автоматически инициировать аутентификацию. При внутреннем пентесте Responder часто помогает показать, насколько легко атакующий, уже оказавшийся внутри сети, может получить дополнительную информацию об учётных записях. 🔐 Responder не «ворует пароль напрямую» Это важный момент. Обычно речь идёт не о получении пароля пользователя в открытом виде. В NTLM-аутентификации используется механизм challenge-response. Упрощённо:

Сервер → challenge
Клиент → response

Поэтому пентестер получает данные, связанные с процессом NTLM-аутентификации, а не просто:

user:password

Дальше риск зависит от: — сложности пароля; — конфигурации сети; — настроек NTLM; — возможности дальнейшего relay-сценария. ⚔️ А причём здесь NTLM Relay? Вот здесь начинается самое интересное. Полученные NTLM-аутентификационные данные не всегда обязательно пытаться подбирать. В некоторых конфигурациях их можно попытаться перенаправить другому сервису. Это называется: NTLM Relay И здесь становится понятна наша предыдущая тема — SMB Signing. Цепочка начинает складываться:

LLMNR / NBT-NS
        ↓
Responder
        ↓
NTLM-аутентификация
        ↓
SMB Signing не требуется
        ↓
Возможность NTLM Relay

Поэтому все эти темы мы разбираем именно последовательно. 🔎 Что проверяет пентестер Во время аудита важно понять: — включены ли LLMNR и NBT-NS; — используется ли NTLM; — требуется ли SMB Signing; — какие устройства находятся в одном сетевом сегменте; — могут ли рабочие станции инициировать NTLM-аутентификацию к неизвестным узлам. Responder здесь выступает прежде всего как инструмент, позволяющий продемонстрировать последствия неправильной конфигурации. 🧠 Главная мысль Responder сам по себе не создаёт уязвимость. Он показывает уже существующую проблему:

компьютер не смог найти нужный ресурс, доверился ответу внутри локальной сети и попытался автоматически пройти NTLM-аутентификацию.

Именно поэтому Responder считается одним из классических инструментов внутреннего инфраструктурного пентеста. 📌 Наша цепочка теперь выглядит так:

SMB
 ↓
SMB Signing
 ↓
NTLM
 ↓
LLMNR / NBT-NS
 ↓
Responder
 ↓
NTLM Relay

#responder #ntlm #llmnr #smb #activedirectory #windows #pentest #infra

🔐 Что такое SMB Signing? Мы уже разобрали, что такое SMB и зачем он используется в Windows-сетях. Теперь логичный следующий шаг — понять, что такое SMB Signing и почему пентестеры всегда обращают на него внимание.

📌 SMB Signing — это механизм, который добавляет цифровую подпись к SMB-сообщениям.

Проще говоря, он помогает убедиться, что: — сообщение действительно пришло от ожидаемой стороны; — данные не были изменены по пути; — трафик не был незаметно подменён посредником. 🧠 Зачем это вообще нужно? Представим, что компьютер обращается к файловому серверу по SMB. Без дополнительной защиты злоумышленник внутри сети потенциально может попытаться вмешаться в обмен данными. SMB Signing усложняет такую атаку, потому что каждая сторона проверяет подпись сообщений. Упрощённо:

Клиент
   ↓
SMB-запрос + подпись
   ↓
Сервер
   ↓
Проверка подписи

Если сообщение было изменено, проверка не пройдёт. ⚠️ Почему SMB Signing интересен пентестеру? Во время внутреннего аудита часто проверяют, является ли SMB Signing обязательным. Можно встретить ситуацию:

SMB Signing: enabled but not required

То есть механизм поддерживается, но его использование не обязательно. Или:

SMB Signing: required

Это уже более защищённый вариант. 📌 Если SMB Signing не обязателен, это может создать условия для некоторых relay-атак. Именно поэтому тема SMB Signing напрямую связана с NTLM Relay, который мы разберём дальше. 🔎 Как проверить SMB Signing Например, через Nmap:

nmap -p 445 --script smb2-security-mode 192.168.1.10

Результат может быть таким:

Message signing enabled but not required

или:

Message signing enabled and required

🛡 Что считается более безопасным Лучший вариант:

SMB Signing = Required

Потому что сервер будет принимать только подписанный SMB-трафик. Но важно понимать:

SMB Signing сам по себе не решает все проблемы безопасности SMB.

Он защищает именно целостность и подлинность сообщений, но не заменяет: — правильные права доступа; — сегментацию сети; — защиту учётных данных; — обновление систем; — контроль NTLM. 📌 Главная мысль SMB Signing — это механизм защиты SMB-трафика от подмены. Для пентестера особенно важно понять:

SMB
   ↓
SMB Signing
   ↓
NTLM
   ↓
Responder
   ↓
NTLM Relay

Потому что дальше эти темы начинают складываться уже в одну цепочку атаки. #smb #smbsigning #ntlm #windows #ad #pentest #infra

🔐 Что такое Hash? Когда начинают изучать инфраструктурный пентест, очень часто слышат: 🤔"получили NTLM-хеш" 🤔 "Pass-the-Hash" 🤔"слили хеши пользователей" Но что вообще такое хеш?

📌 Hash (хеш) — это результат работы специального алгоритма, который преобразует любые данные в строку фиксированной длины.

Например:

Пароль:
qwerty123

После вычисления хеша получится что-то вроде:

7c6a180b36896a0a8c02787eeafb0e4c

🧠 Главное свойство хеша: 👉 из одного и того же пароля всегда получится один и тот же хеш. Но выполнить обратное преобразование:

Хеш → Пароль

невозможно. Поэтому в большинстве систем хранятся не сами пароли, а их хеши. 💡 Когда пользователь вводит пароль: 1️⃣ Система вычисляет его хеш. 2️⃣ Сравнивает его с тем, который хранится в базе. 3️⃣ Если они совпадают — пользователь успешно проходит аутентификацию. 💀 Почему это интересно пентестеру? Потому что злоумышленнику далеко не всегда нужен сам пароль. Во многих случаях достаточно получить: 👉 NTLM-хеш. А дальше уже становятся возможны такие атаки, как: — Pass-the-Hash — NTLM Relay — Offline Cracking 📌 Поэтому во время инфраструктурного пентеста очень часто охотятся именно за хешами, а не за паролями. Именно вокруг них построено множество современных атак на Active Directory. #infra #ad #hash #authentication