🧭 Как определить Domain Controller? Во внутренней сети одна из важных задач — понять, где находится Domain Controller.

📌 Domain Controller (DC) — это сервер, который обслуживает Active Directory: аутентификацию, Kerberos, LDAP, групповые политики и другие доменные функции.

🔎 На какие порты смотреть У Domain Controller часто открыты:

53    DNS
88    Kerberos
135   MSRPC
389   LDAP
445   SMB
464   Kerberos password change
636   LDAPS
3268  Global Catalog
3269  Global Catalog SSL

Особенно характерная связка:

53 + 88 + 389 + 445

Если видите её на одном Windows-сервере — это уже хороший кандидат на DC. 🛠 Проверка через Nmap

nmap -sV -p 53,88,389,445,464,636,3268,3269 192.168.1.10

В результатах могут появиться:

kerberos-sec
ldap
microsoft-ds
domain

🧠 Через DNS Active Directory публикует специальные DNS-записи. Например:

nslookup -type=SRV _ldap._tcp.dc._msdcs.example.local

или:

nslookup -type=SRV _kerberos._tcp.example.local

Если DNS отвечает именем сервера — вы практически напрямую получаете адрес Domain Controller. 🪟 Если уже есть доступ к Windows-машине Можно посмотреть, какой DC обслуживает текущую доменную сессию:

echo %LOGONSERVER%

Например:

\\DC01

Ещё вариант:

nltest /dsgetdc:example.local

Команда может показать: — имя DC; — IP-адрес; — домен; — сайт Active Directory. 📌 Как выглядит логика поиска

Нашли Windows-сервер
        ↓
Проверили 53 / 88 / 389 / 445
        ↓
Увидели Kerberos + LDAP
        ↓
Проверили DNS SRV-записи
        ↓
Определили Domain Controller

🧠 Главная мысль Один открытый порт ещё ничего не доказывает. Но сочетание:

DNS
Kerberos
LDAP
SMB
Global Catalog

очень характерно для Domain Controller. #activedirectory #domaincontroller #ad #windows #nmap #ldap #kerberos #pentest

🎫 Что такое Pass-the-Ticket? Мы уже разобрали: 🔐 NTLM → Pass-the-Hash Теперь пришло время второй популярной техники в инфраструктурном пентесте — Pass-the-Ticket.

📌 Pass-the-Ticket (PtT) — это атака, при которой злоумышленник использует уже полученный Kerberos-билет, а не пароль пользователя.

Проще говоря: вместо кражи пароля атакующий "подкладывает" системе чужой билет Kerberos и получает доступ от имени этого пользователя. 🧠 Вспомним, как работает Kerberos. Когда пользователь успешно входит в домен:

Логин
        ↓
Проверка пароля
        ↓
Domain Controller
        ↓
Выдаётся Kerberos Ticket

Именно этот билет используется для доступа к ресурсам сети. 💀 Если злоумышленник сможет получить такой билет, пароль ему уже не понадобится. Он может использовать билет для аутентификации так, словно является настоящим владельцем учётной записи. 📌 Чем отличается Pass-the-Hash от Pass-the-Ticket? Pass-the-Hash 👉 используется NTLM-хеш. Pass-the-Ticket 👉 используется Kerberos Ticket. Обычно атака выглядит так:

Получение Kerberos Ticket
        ↓
Импорт билета
        ↓
Доступ к сервисам

🛠 Для работы с Kerberos-билетами часто используют: — Mimikatz — Rubeus — Impacket 🧠 Важно понимать:

Pass-the-Ticket — это не способ получить билет, а способ использовать уже полученный. Поэтому чаще всего сначала злоумышленник получает доступ к системе, извлекает Kerberos-билеты из памяти, а затем использует их для перемещения по инфраструктуре.

📌 Именно поэтому защита рабочих станций и серверов так важна. Если атакующий получает возможность читать память процессов с билетами Kerberos, это может стать отправной точкой для дальнейшего развития атаки. #infra #ad #kerberos #passtheticket