Пост-эксплуатация в Windows AD - латеральное движение и удержание контроля

1. Цель пост-эксплуатации
• Получить привилегии домена или доступ к критичным данным.
• Расширить доступ на смежные хосты и сервисы.
• Сохранить скрытный доступ для дальнейшей активности.

2. Основные векторы эскалации привилегий
• Kerberoasting - извлечение TGT/TGS и брутфорс SPN-паролей.
• Overpass/Pass-the-Hash - использование хэшей NTLM для аутентификации.
• Golden Ticket - создание поддельных TGT при компрометации KRBTGT.
• Credential dumping - Mimikatz, LSASS-дампы, WDigest, DPAPI-ключи.
• Unconstrained delegation и Kerberos delegation misconfigs.

3. Латеральное движение - методы
• SMB/NTLM relay и smbexec для выполнения команд на удалённых хостах.
• PsExec / WMI / WinRM - распространённое выполнение удалённых задач.
• RDP с перебором/подбором учёток или использованием украденных токенов.
• Exploits в службах (MSRPC, MS17-010 и др.) для распространения без явных учёток.
• Abuse of AD tools - PowerShell Remoting, Invoke-Mimikatz, BloodHound-автоматизация.

4. Persistence (удержание доступа)
• Создание служебных учёток с правами и скрытые привилегии.
• Scheduled Tasks / Windows Service с командной строкой запуска.
• Golden/Silver Tickets и skeleton key для долгосрочного доступа.
• Shadow admins - добавление в AD-группы с непрозрачными правами.
• Web shells и backdoors в внутренних web-приложениях.

5. Инструменты и подходы (практически)
• BloodHound + Neo4j - карта привилегий и пути эскалации.
• Mimikatz / Rubeus / Kekeo - Kerberos и credentials tooling.
• Impacket (psexec.py, smbrelayx) - автоматизация lateral.
• CrackMapExec - оркестрация атак по подсетям.
• PowerView / SharpHound - сбор AD-информации для построения графа.

6. Индикаторы компрометации (SOC-фокус)
• Необычные Kerberos запросы (TGS requests с новыми SPN).
• Неожиданные LDAP-запросы и массовые сессии от учеток.
• Создание новых привилегированных аккаунтов вне обычного процесса.
• Запуски Mimikatz-подобных процессов и доступ к LSASS.
• Необычные привязки сервисов/слушателей на внутренних хостах.

7. Быстрые контрмеры и рекомендации
• Внедрить LAPS и минимизировать локальные admin-пароли.
• Ограничить delegation и удалить unconstrained delegation.
• Включить и мониторить Kerberos-аудит (AS/ TGS requests).
• Защитить LSASS (Credential Guard, LSA protection) и сегментировать сеть.
• Минимизировать права сервисных учёток и регулярно ротировать KRBTGT.
• Внедрить EDR с обнаружением process-injection, dump-access и lateral tools.

Как работают баг-баунти программы и почему на них зарабатывают только те, кто понимает логику уязвимостей

• Многие думают, что баг-баунти - это “зашёл на сайт, нашёл дырку, получил деньги”. На практике это структурированный процесс, где платят не за удачу, а за понимание того, как ломается современный веб.

Что такое баг-баунти

• Это официальная программа, где компании платят за найденные уязвимости в своих сервисах.
• Площадки: HackerOne, Bugcrowd, Integrity, YesWeHack.
• Награды: от $50 за мелкие баги до $50 000+ за критические цепочки.

Что реально ищут

Баги делятся на уровни:
• Low - утечки метаданных, плохие заголовки, неопасные ошибки.
• Medium - слабые политики, ограниченные обходы авторизации.
• High - полноценные уязвимости, которые дают контроль над частью функционала.
• Critical - RCE, данные пользователей, полный обход авторизации.

Где искать уязвимости

• Логика приложения: неправильные проверки прав, обход ролей.
• API: отсутствующая валидация, IDOR, инъекции.
• Авторизация: уязвимые токены, слабые ограничения, ошибки в сессиях.
• Инфраструктура: неправильные настройки облаков, публичные бакеты.

Мини-гайд по началу
1. Берёшь программу на HackerOne с “beginner friendly”.
2. Сканируешь цели через:
 → httpx
 → nuclei
 → subfinder
3. Ищешь точки входа: параметры, API-endpoints, скрытые функции.
4. Тестируешь:
 → IDOR (смена userID)
 → SSRF (внешние запросы)
 → XSS (контроль вывода)
 → BOLA в API
5. Оформляешь отчёт: повторяемость, шаги, воздействие, PoC.

Почему баг-баунти сложнее, чем кажется

• Популярные программы уже вылизаны.
• Чтобы находить баги, нужна системность: методология, чеклисты, понимание логики кода.
• Твои находки должны быть стабильными, воспроизводимыми и реальными.

Деанонимизация через AI-модели и цифровые тени

Суть:
Людей всё чаще находят не через базы данных и утечки, а через след, который оставляют нейросети и рекомендательные алгоритмы.

В чём новизна.
Раньше OSINT =
доки, логи, соцсети, IP, базы

Теперь OSINT =
AI + поведенческий отпечаток + метаданные + стиль + контекст

Всё это собирается в единую модель личности.

Примеры:
• стиль текста (как ты пишешь)
• построение предложений
• любимые слова
• поведение в Telegram
• время активности
• с каких устройств пишешь
• какие темы изучаешь
• какая лексика / ритм / структура
• какие картинки смотришь
• какие промпты вводишь
• какие сайты читаешь

Это уже отпечаток личности - как отпечаток пальца, только цифровой.

Новый вектор OSINT в 2025

Не искать личку - а воссоздавать человека из фрагментов.

Это используют:
• корпорации
• спецслужбы
• рекламные сети
• хак-группы
• мошенники
• HR/службы безопасности.

Вместо поиска по базам используется:
• stylometry - анализ стиля письма
• behavior pattern matching - сопоставление поведения
• context analysis - анализ смысловых паттернов
• temporal pattern - анализ активности по времени
• linguistic fingerprint - языковой отпечаток
• image embedding - сопоставление картинок через AI
• prompt-tracking - фиксация AI-запросов
• clickstream-анализ

Как сайты отслеживают вас через DNS-запросы (даже без аккаунта и куки)

• Многие уверены, что если использовать VPN, инкогнито и не логиниться - сайт ничего не узнает. На практике значительная часть трекинга уходит на уровень DNS. Разберём, как это работает.

• DNS (Domain Name System) - это система, которая переводит доменные имена (example.com) в IP-адреса. Каждый запрос к сайту начинается именно с DNS.

• Что видит сторона, контролирующая DNS:
• Какие домены вы посещаете
• В какое время
• С какой частотой
• С какого IP / VPN / ASN
• Какие приложения работают в фоне (мессенджеры, клиенты, апдейтеры)

• Почему DNS - идеальный источник слежки:
• Работает до HTTPS
• Не зависит от куки
• Не зависит от браузера
• Видит не только сайты, но и приложения
• Часто логируется годами

• Типичные источники DNS-логов:
• Провайдер (ISP)
• Публичные DNS (Google, Cloudflare, Quad9)
• Корпоративные сети
• VPN-провайдеры
• Вредоносные расширения и ПО

• DNS-паттерны:
Даже без контента запросов можно определить:
• Соцсети, которыми вы пользуетесь
• Криптокошельки и биржи
• Мессенджеры
• Используемые ОС и приложения
• Примерный профиль активности

• В OSINT DNS-данные используют для:
• Корреляции устройств одного человека
• Связывания анонимной и обычной активности
• Анализа поведения
• Атрибуции трафика
• Расследований утечек и атак

• Почему VPN не всегда спасает:
• DNS может идти мимо туннеля
• VPN сам логирует запросы
• Один и тот же DNS-профиль сохраняется при смене IP

• Минимальные меры снижения слежки:
• DoH / DoT (DNS over HTTPS / TLS)
• Собственный DNS-резолвер
• Tor Browser (DNS внутри Tor)
• Разделение профилей и устройств
• Контроль DNS на уровне ОС, а не браузера

Как сайты и приложения отслеживают вас через системное время и тайминги (Timing Fingerprinting)

• Большинство думает, что трекинг строится на куки и IP. На практике всё чаще используют временные характеристики устройства, которые почти невозможно скрыть.

• Timing fingerprinting - это метод идентификации по измерению времени выполнения операций:
• Загрузка ресурсов
• Ответы JavaScript
• Работа CPU
• Задержки сети
• Рендеринг шрифтов и canvas

• Что именно измеряется:
• Точность системных часов
• Drift (уход времени относительно эталона)
• Производительность CPU
• Планировщик потоков ОС
• Поведение таймеров браузера

• Почему это работает:
• Каждое устройство имеет уникальные задержки
• Виртуалки отличаются от реального железа
• VPN не влияет на локальные тайминги

• Примеры практического использования:
• Связывание разных браузеров одного пользователя
• Детект виртуальных машин и песочниц
• Обход антифрод-защиты
• Выявление ботов и автоматизации

с новым годом!

Как приложения определяют, что вы один и тот же человек без аккаунта

Fingerprint устройства
Приложения собирают набор технических параметров:
• модель устройства
• версия ОС
• язык системы
• часовой пояс
• разрешение экрана
• список шрифтов
• поведение сенсора

По совокупности формируется устойчивый fingerprint.


Связывание через сеть
Даже при смене IP используются:
• тип подключения
• ASN провайдера
• задержки и маршруты
• повторяющиеся Wi-Fi точки

Эти признаки стабильнее IP.


Поведенческая корреляция
Система анализирует:
• скорость прокрутки
• интервалы касаний
• порядок действий
• время активности

Поведенческий профиль почти уникален.


Кросс-приложечная идентификация
SDK аналитики работают сразу в сотнях приложений:
• Firebase
• AppsFlyer
• Adjust
• Meta SDK

Если они стоят в двух приложениях - пользователь связывается.


Почему очистка данных не помогает
• Fingerprint пересобирается заново
• Поведение остаётся тем же
• Сетевые паттерны не меняются
• Связь восстанавливается за часы


Где это используют
• антифрод системы
• рекламные сети
• защита от мультиаккаунтов
• теневой скоринг пользователей

Как мобильные приложения хранят данные без куки

• В мобильных приложениях нет классических браузерных куки, но механизмы хранения данных работают даже агрессивнее, чем в вебе.

• Основные способы хранения данных в приложениях:

• SharedPreferences и DataStore в Android  
• Keychain в iOS  
• SQLite базы внутри приложения  
• файловые хранилища приложения  

Эти данные сохраняются между сессиями и переживают перезапуск устройства.

• Для идентификации используются:

• Advertising ID (AAID, IDFA)  
• внутренние UUID приложения  
• токены аналитических SDK  
• push-токены уведомлений  

Даже при выходе из аккаунта идентификаторы часто остаются.

• Сторонние SDK усиливают слежку:

• Firebase Analytics  
• AppsFlyer  
• Adjust  
• Meta SDK  

Они объединяют данные из разных приложений.

• Очистка кэша не решает проблему:

• данные остаются в хранилище приложения  
• рекламный идентификатор не сбрасывается автоматически  
• push-токены обновляются, но сохраняют связь  

• Удаление приложения не всегда обрывает идентификацию:

• резервные копии восстанавливают данные  
• SDK пересоздают идентификаторы  
• профиль связывается через сеть и поведение

Как операционная система хранит учётные данные и сессии приложений

• Даже если не говорить о браузерах, любая операционная система имеет собственные механизмы хранения авторизации, токенов и чувствительных данных. Именно на этом уровне приложения «помнят» пользователя.

• Где ОС хранит данные авторизации:

• Windows Credential Manager - пароли, токены, сетевые учётные данные  
• macOS Keychain - пароли, сертификаты, ключи приложений  
• Android Keystore - ключи шифрования и токены приложений  
• iOS Keychain - данные авторизации и идентификаторы  

Эти хранилища защищены системой и не удаляются при закрытии приложения.

• Что там обычно хранится:

• access и refresh токены  
• ключи API  
• данные сессий  
• криптографические ключи  
• данные автологина  

• Почему это важно для безопасности:

• компрометация системы = доступ ко всем сессиям  
• вредоносное ПО может читать или перехватывать токены  
• выход из аккаунта не всегда очищает системное хранилище  

• Типичные ошибки разработчиков:

• хранение токенов без шифрования  
• отсутствие очистки при logout  
• повторное использование токенов  
• избыточные права доступа  

• Использование в атаках и расследованиях:

• кража сессий без ввода пароля  
• восстановление доступа после удаления приложения  
• анализ следов активности на устройстве  
• извлечение токенов при форензике

Как компрометируют и используют токены приложений

• Большинство современных приложений работают не с паролями, а с токенами. Именно токен, а не логин и пароль, подтверждает право на доступ. Потеря токена часто равна полному захвату аккаунта.

• Что такое токен в приложениях:

• access token - даёт доступ к API  
• refresh token — позволяет получать новые access токены  
• session token — подтверждает активную сессию  
• service token — используется для связи между сервисами  

Токен - это уже авторизация.

• Основные способы компрометации токенов:

• утечки в логах приложения или сервера  
• хранение токенов в открытом виде  
• XSS и внедрение скриптов  
• вредоносные расширения и ПО  
• перехват резервных копий и дампов  

Часто токен утекает не из-за взлома, а из-за плохой архитектуры.

• Типичные ошибки разработчиков:

• хранение токенов в localStorage  
• отсутствие привязки токена к устройству  
• слишком долгий срок жизни  
• одинаковые токены для разных сессий  
• отсутствие ротации 

• Как используют украденные токены:

• доступ к API без ввода пароля  
• чтение и изменение данных пользователя  
• выполнение действий от имени жертвы  
• обход 2FA  
• автоматизация злоупотреблений  

Во многих системах токен не отличим от легитимного клиента.


• Почему это сложно
обнаружить:

• запросы выглядят валидными  
• нет ошибок авторизации  
• действия проходят в рамках API  
• логи не показывают аномалий  

• Как защищаются от этого:

• короткий срок жизни access токенов  
• привязка к устройству или IP  
• обязательная ротация  
• хранение токенов в защищённых хранилищах ОС  
• мониторинг аномального поведения

Почему режим инкогнито не делает вас анонимным

• Многие считают, что режим инкогнито полностью скрывает их активность. На практике он решает очень узкую задачу и не связан с анонимностью в сети.

• Что делает режим инкогнито:

• не сохраняет историю посещений
• не сохраняет куки после закрытия
• не запоминает данные форм
• изолирует текущую сессию от основной

Это локальная защита на уровне устройства.

• Чего он не делает:

• не скрывает IP-адрес
• не шифрует трафик
• не скрывает активность от провайдера
• не делает вас анонимным для сайтов
• не защищает от трекинга на уровне сети

• Кто всё равно видит активность:

• интернет-провайдер
• администратор сети
• сами сайты и их серверы
• CDN и инфраструктура
• государственные и аналитические системы

• Почему возникает путаница:

• название создаёт ложное ощущение приватности
• интерфейс скрывает локальные следы
• нет объяснения ограничений

• Когда он действительно полезен:

• вход в несколько аккаунтов
• использование чужого устройства
• тестирование сайтов
• временные сессии

# ARP Spoofing: Как атака происходит внутри локальной сети

Большинство думает об угрозах из интернета. Но один человек в той же сети - кафе, офис, общежитие - может перехватить весь твой трафик без единого взлома.

Что такое ARP:

ARP (Address Resolution Protocol) связывает IP-адреса с MAC-адресами внутри локальной сети. Когда устройство хочет отправить пакет - оно спрашивает: «Кто имеет этот IP?» Владелец отвечает своим MAC. Протокол не имеет аутентификации.

Как работает атака:

жертва отправляет ARP-запрос в сеть
атакующий отвечает раньше роутера
жертва записывает MAC атакующего в ARP-таблицу
весь трафик идёт через машину атакующего
атакующий пересылает его дальше - жертва ничего не замечает

Что атакующий видит в трафике:

HTTP-запросы и ответы в открытом виде
заголовки и cookies незашифрованных сессий
DNS-запросы - все домены, куда обращается жертва
метаданные HTTPS - IP, SNI, тайминг
учётные данные на незащищённых сервисах

Почему HTTPS не полная защита:

SSLstrip понижает HTTPS до HTTP в реальном времени
HSTS защищает — но только сайты из preload-листа
сертификаты можно подменить при слабой проверке
метаданные соединений видны даже через TLS

Инструменты которые используются:

arpspoof - классика, часть dsniff
ettercap - с графическим интерфейсом
bettercap - современный, активно развивается
Scapy - для написания кастомных атак на Python

Как обнаружить атаку:

XArp - мониторинг ARP-таблицы на Windows
arpwatch - демон для Linux
резкий рост латентности - трафик идёт через третью машину
дублирующиеся MAC в таблице роутера
Wireshark - ARP-ответы без запросов

Защита на уровне сети:

Dynamic ARP Inspection (DAI) - на управляемых свитчах
статические ARP-записи - для критичных узлов
сегментация сети - VLAN изолирует пользователей
VPN внутри локалки - шифрует трафик до выхода
802.1X - аутентификация на уровне порта

Публичные сети опасны именно этим - не тем, что роутер ненадёжный, а тем, что любой участник сети потенциально видит всё остальное. Корпоративные сети без DAI уязвимы так же.

# ICMP Tunneling: Передача данных через протокол который никто не фильтрует

Файрволы блокируют TCP и UDP порты. Но ICMP - протокол пингов - пропускают почти везде. Именно это делает его идеальным каналом для скрытой передачи данных.

Что такое ICMP Tunneling:

ICMP Echo Request и Reply имеют поле payload - туда можно вложить произвольные данные. Файрвол видит обычный пинг, внутри которого идёт полноценный туннель.

Как работает на практике:

клиент отправляет ICMP Echo Request с данными в payload
сервер извлекает данные и отвечает Echo Reply
соединение выглядит как обычная проверка связи
весь трафик инкапсулируется внутри пингов

Что передают через ICMP туннель:

DNS-запросы в обход корпоративных фильтров
HTTP/HTTPS трафик через рестриктивные сети
командный канал C2 для malware
данные из изолированных сегментов сети
обход captive portal в отелях и аэропортах

Инструменты:

ptunnel-ng — классический ICMP туннель
icmptunnel — простой, для Linux
Hans — туннелирует IP поверх ICMP
Pingtunnel — с шифрованием и сжатием

Почему это работает в большинстве сетей:

ICMP нельзя полностью заблокировать — ломается диагностика
файрволы пропускают Echo Request/Reply по умолчанию
payload не инспектируется большинством систем
трафик выглядит как мониторинг сети
rate limiting на ICMP применяют редко

Как обнаружить:

аномальный размер ICMP payload — обычно 32-64 байта
высокая частота пингов с одного хоста
нестандартные значения sequence number
DPI с анализом содержимого ICMP
поведенческий анализ — пинги с регулярным интервалом

Защита:

ограничение размера ICMP payload на периметре
rate limiting - не более N пингов в секунду
инспекция содержимого ICMP на уровне NGFW
блокировка ICMP наружу при строгой политике
Zeek/Suricata — сигнатуры на аномальный ICMP

ICMP туннелинг существует с 90-х и до сих пор работает - потому что сети строятся под операционные задачи, а не под модели угроз. Пинг всегда должен проходить.

OSINT: Поиск открытых баз данных

Открытые базы данных являются одним из основных источников утечек информации. Административный персонал нередко размещает базы данных временно, забывая закрыть порты или не обладая знаниями о настройках по умолчанию.

• Определение открытой базы данных
База данных представляет собой хранилище информации сайта или приложения, включая данные пользователей, пароли, заказы и переписку. Если база данных находится в открытом доступе, любое лицо может подключиться к ней и получить доступ ко всей информации без необходимости ввода учетных данных.

• Распространенные порты и уязвимости:
— MongoDB: порт 27017, версии до 3.0 не требуют пароля по умолчанию.
— Elasticsearch: порт 9200, REST API доступен для чтения непосредственно в браузере.
— Redis: порт 6379, при отсутствии пароля отдает данные через redis-cli.
— CouchDB: порт 5984, веб-интерфейс доступен без авторизации.
— MySQL / PostgreSQL: порты 3306 / 5432, реже доступны из внешней сети, однако такие случаи встречаются.

• Методы поиска через Shodan, Censys и FOFA:
Shodan и Censys являются специализированными поисковыми системами, осуществляющими постоянное сканирование IP-адресов и фиксирующими активность на портах. Примеры поисковых запросов:
— product:"MongoDB" port:27017
— port:9200 json - поиск экземпляров Elasticsearch без авторизации
— "Redis key-value store" port:6379
— protocol=mongodb && country="RU" - фильтрация по стране на платформе FOFA

• Использование Google Dorks для поиска дампов и конфигурационных файлов
Dorks представляют собой специализированные поисковые запросы с использованием операторов Google, позволяющие находить информацию, которая не должна быть общедоступной:
— site:github.com filename:.env DB_PASSWORD
— filetype:sql "INSERT INTO" site:github.com
— site:pastebin.com "mysql dump"
— inurl:phpmyadmin "Welcome to phpMyAdmin"

• Инструментарий:
— GrayhatWarfare: обнаружение открытых бакетов S3, Azure и GCP.
— Nuclei: использование шаблонов exposed-panels и default-logins.
— elasticdump, mongodump: инструменты для извлечения данных из открытых баз данных.

• Типичное содержимое открытых баз данных:
— Таблицы пользователей: электронные адреса, хэши паролей, телефонные номера.
— API-ключи и токены, содержащиеся в полях конфигурации.
— Резервные копии других баз данных в форматах JSON и BSON.
— Логи запросов и транзакций.

• Методы верификации актуальности базы данных:
Перед началом работы необходимо убедиться в актуальности данных и исключить наличие устаревших тестовых экземпляров:
— MongoDB: выполнение запроса db.collection.find().sort({_id:-1}).limit(1) для анализа даты последней записи.
— Elasticsearch: обращение к _cat/indices для проверки размера хранилища (store.size) и даты индекса.

jhack релиз
Запускаю приватный софт для Deadlock. Доступ только по инвайтам.

Условие:
Набираете 20 реакций за 2 дня - выкладываю 30 одноразовых инвайтов
Сайт: jhack.xyz
Регистрация без инвайта невозможна.
Доступ может быть отозван при нарушении правил.

Также я ищу медиа-креатора для долгосрочного сотрудничества.
За подробностями сюда: @uid550