Active Directory для чайников часть 3 (туннелирование траффика)

Базовые вопросы (понимание концепций):​
Что такое сетевая сегментация, и зачем она используется в корпоративных сетях?
Какие задачи решают межсетевые экраны (firewalls), и как они ограничивают трафик?
В чём разница между локальным (Local Port Forwarding) и удалённым (Remote Port Forwarding) перенаправлением портов?
Что такое SOCKS прокси и в каких случаях он применяется?
Чем туннелирование отличается от обычного проброса портов?
Как работает инкапсуляция данных в SSH-туннелях?
Технические вопросы (практика):​
Как настроить SSH-туннель для доступа к порту на изолированной машине?
Пример: Как использовать ssh -L для проброса SMB-трафика?

Как организовать удалённый порт-форвардинг, если на хосте заблокирован исходящий HTTP-трафик?
Как настроить и использовать Proxychains для работы через SOCKS прокси?
Как проверить, что SSH-туннель настроен корректно? Какие команды/инструменты для этого использовать?
Какие параметры SSH (например, -N, -D) наиболее часто используются для туннелирования, и что они означают?
Какие инструменты кроме SSH можно использовать для создания туннелей (например, Chisel, Ligolo), и чем они отличаются?
Вопросы по безопасности и детекции:​
Как администраторы могут обнаружить использование SSH-туннелей в сети?
Какие действия предпринять, чтобы защитить изолированные сегменты от несанкционированного доступа через туннелирование?
Какие журналы событий (лог-файлы) нужно проверять, чтобы обнаружить аномальное использование SSH?
Какие меры защиты можно внедрить, чтобы предотвратить загрузку и выполнение утилит, таких как Chisel или Ligolo?
Какие инструменты DPI (Deep Packet Inspection) помогают анализировать трафик и обнаруживать туннели?
Практические сценарии (для закрепления):​
Как пробросить порт для доступа к веб-серверу, если он работает на изолированном хосте?
Как настроить SSH-доступ, чтобы работать с несколькими службами (например, RDP, SMB) одновременно через один туннель?
Как использовать SOCKS прокси для сканирования портов изолированной сети? Какие параметры nmap для этого подойдут?
Как организовать VPN-туннель с помощью Ligolo и настроить маршрут во внутреннюю сеть?
Как настроить обратный порт-форвардинг, чтобы сервер в изолированной сети подключался к атакующей машине?
Для углублённого понимания:​
Какие протоколы чаще всего используются для инкапсуляции (HTTP, SMB, SSH), и в каких ситуациях они применяются?
Чем динамическое перенаправление портов через SOCKS отличается от статического?
Какие есть ограничения и недостатки у инструментов, таких как Chisel или Proxychains?
Как туннели используются в атакующих фреймворках (например, Havoc или Metasploit)?
Какие метрики трафика могут свидетельствовать о скрытом туннелировании (например, постоянный поток трафика на порту 22)?
Для проверки своих знаний:​
Можете ли вы объяснить разницу между туннелированием и пробросом портов простыми словами?
Как вы бы настроили туннель для доступа к изолированной сети, если знаете только один доступный узел (хост)?
Как определить, что данные отправляются через SSH-туннель, если вы смотрите на сетевой трафик?
Какие шаги вы предпримете, чтобы не оставить следов после настройки туннеля?
Практические задания:​
Настройте локальный и удалённый порт-форвардинг с помощью SSH и проверьте, что они работают.
Используйте Proxychains для перенаправления трафика на изолированный ресурс.
Установите и настройте утилиту Chisel для проброса портов. Попробуйте построить SOCKS туннель.
Поднимите VPN-туннель через Ligolo и выполните сканирование внутренней сети.

Эти вопросы помогут вам не только разобраться в теории, но и освоить практические навыки работы с туннелями и пробросом портов, а также понять, как это используется в атакующих и защитных сценариях.








	
	
		
		
			NOTE

Если что я сам ничего из этого еще не знаю=)))) Я буду пытаться понять часть информации на ходу, с практикой и нейронкой. Это лишь потому что я ленивый и немного тупой. Чуть позже я планирую переписать материал.
		
		Click to expand...
	
Дружеская рекомендация​




	
	
		
		
			NOTE

Боевое Вождение - это ютуб канал, который мне посоветовали пользователи дамаги. Я посмотрел пару видеороликов, автор толковую информацию показывает на практике. Рекомендую на досуге ознакомиться, вам это должно помочь!
		
		Click to expand...
	
Решаем таск с 0 знаниями по сетям=)))​Задание​Удалось обнаружить учетные данные для электронной почты следующего пользователя:




Логин: [email protected]
Пароль: Zaebal123$$$$
Цель:​Скомпрометировать лабораторную сеть.



Адрес лаборатории:​
Сеть лаборатории: 10.113.0.0/24
Почтовый сервер: 10.109.0.100
Учетные данные для почтового сервера:​
Логин: [email protected]
Пароль: Secure2023_X_Pass
Я зашел на аккаунт братвы, увидел, что он не смог до конца разобраться зачем ему скинули подозрительный файл с расширением .hta. И решил спросить=)




.oaiImgdwNotice{display:flex;gap:14px;align-items:flex-start;padding:14px 16px;margin:8px 0;background:rgba(245,158,11,0.08);border:1px solid rgba(245,158,11,0.30);border-radius:12px;line-height:1.5;color:var(--xf-textColor,inherit)}
.oaiImgdwNotice-icon{flex:0 0 auto;color:rgb(245,158,11);margin-top:2px}
.oaiImgdwNotice-content{flex:1 1 auto;min-width:0}
.oaiImgdwNotice-title{font-weight:700;font-size:15px;margin-bottom:2px}
.oaiImgdwNotice-text{color:var(--xf-textColorMuted,inherit);font-size:14px}
.oaiImgdwNotice-meta{display:flex;flex-wrap:wrap;gap:8px;margin-top:10px}
.oaiImgdwNotice-tag{display:inline-flex;align-items:center;gap:4px;padding:3px 10px;border-radius:999px;background:var(--xf-contentAltBg,rgba(0,0,0,0.04));color:var(--xf-textColorMuted,inherit);font-size:12px}
.oaiImgdwNotice-tag code{background:transparent;padding:0;color:var(--xf-textColor,inherit)}
.oaiImgdwNotice-details{margin-top:10px}
.oaiImgdwNotice-details>summary{cursor:pointer;color:var(--xf-linkColor,#0078FC);font-size:13px;list-style:none;user-select:none}
.oaiImgdwNotice-details>summary::-webkit-details-marker{display:none}
.oaiImgdwNotice-details>summary::before{content:"\25B8";display:inline-block;margin-right:6px;transition:transform .15s}
.oaiImgdwNotice-details[open]>summary::before{transform:rotate(90deg)}
.oaiImgdwNotice-allowedList{margin:8px 0 0;padding:0;list-style:none;display:flex;flex-wrap:wrap;gap:6px}
.oaiImgdwNotice-allowedList li{margin:0}
.oaiImgdwNotice-allowedList code{display:inline-block;padding:3px 9px;border-radius:6px;background:var(--xf-contentAltBg,rgba(0,0,0,0.04));font-size:12px}
.oaiImgdwNotice-empty{margin-top:8px;color:var(--xf-textColorMuted,inherit);font-size:13px}
Медиа заблокированоЭтот домен не входит в список разрешённых для медиа.Формат: изображения / GIFДомен: knightpentest.comРазрешённые доменыimgur.comru.imgbb.comprnt.scimgbb.comibb.coi.imgur.comi.ibb.codarklimb.vipi.pinimg.comimg3.teletype.inimg4.teletype.inteletype.inpikabu.rucs15.pikabu.ruimg2.teletype.inlh7-rt.googleusercontent.comduty-files.ccblogger.googleusercontent.com



Догадываюсь, что подобный таск учит нас действовать от ситуации. Посерфить скомпрометированную почту, понять, что вот есть кейс. Прислали неоптытному сотруднику файл с каким-нибудь отчетом, а он не знает как его открыть. Босс еще не успел скинуть мануал, ответить на сообщение. Значит мы имея учетку босса сделаем работу за него, вот только файл будет необычным=)))



Я отправился в интернет, искать что можно интересного сделать с .hta и в целом узнать что это такое.








	
	
		
		
			NOTE

hta файлике. Это по сути исполняемый файл с кодом html внутри себя, который может быть запущен вне браузера, в приложении mshta.exe, входящем в состав Windows (c:\windows\system32\mshta.exe).
		
		Click to expand...
	
Для чего нужен HTA​HTA создавался для разработчиков, чтобы упростить разработку приложений с графическим интерфейсом, основанных на HTML, без ограничений, присущих браузерам. Ниже описаны основные сценарии использования:




Разработка легковесных приложений:
HTA использовался для создания простых приложений на основе HTML и JavaScript с доступом к системным ресурсам.
Например, можно было создать утилиту для автоматизации задач (например, генератор отчетов или интерфейс настройки).

Полный доступ к системным ресурсам:
HTA-файлы запускаются вне “песочницы” браузера, что даёт им полный доступ к системным ресурсам:
Чтение/запись файлов на диск.
Доступ к реестру.
Выполнение команд через WScript или ActiveX.

Это делает HTA мощным инструментом для автоматизации.

Интеграция с корпоративными системами:
HTA можно использовать для создания внутренних инструментов в корпоративной среде, например, интерфейсов для работы с базами данных или файловыми хранилищами.

Тестирование и отладка веб-приложений:
Благодаря своей совместимости с HTML и JavaScript, HTA может использоваться для тестирования веб-кода или взаимодействия с API.

Создание кастомизированных интерфейсов:
В отличие от веб-браузеров, HTA позволяет настраивать интерфейс полностью: убрать меню, полосы прокрутки и кнопки навигации.

Зачем это может использоваться сегодня?​Сегодня HTA устарел, но иногда его используют в следующих целях:




Автоматизация и скрипты:
Разработчики или системные администраторы могут использовать HTA для написания скриптов, которые требуют графического интерфейса.

Обход ограничений в безопасности:
К сожалению, злоумышленники используют HTA для эксплуатации уязвимостей Windows. HTA позволяет:
Выполнять произвольный код на машине пользователя.
Загружать вредоносные программы.
Взаимодействовать с системой без строгих ограничений.


Социальная инженерия:
HTA-файл может быть замаскирован под что-то безопасное (например, “документ” или “установочный файл”) и отправлен жертве. Запуск HTA через mshta.exe может привести к выполнению вредоносного кода.

Какие угрозы несёт HTA?​
Полный доступ к системе:
HTA имеет привилегии для работы с файлами, реестром и выполнения команд, что делает его потенциально опасным.

Используется в атаках:
HTA часто применяют для распространения вредоносного ПО. Например:
В фишинговых атаках HTA-файл может загрузить и запустить троян или шпионское ПО.
В эксплойтах — для обхода ограничений системы безопасности.


Запуск без предупреждений:
Если mshta.exe запускается без должного контроля, HTA-файлы могут выполнять код без согласия пользователя.

Как защититься от потенциальных угроз HTA​
Ограничение использования mshta.exe:
Отключите или удалите mshta.exe, если он не используется в рабочем процессе.

Фильтрация HTA-файлов:
Настройте антивирусные программы и средства защиты на блокировку .hta файлов.

Обучение сотрудников:
Убедитесь, что пользователи понимают риски запуска неизвестных файлов с расширением .hta.

Мониторинг системы:
Используйте EDR-системы для мониторинга запусков mshta.exe и анализа аномальной активности.

Заключение​HTA — это мощный инструмент, который изначально предназначался для разработки приложений на основе HTML. Однако из-за своей открытости и доступа к системным ресурсам он часто используется злоумышленниками для атак. Если HTA не используется в вашей организации, лучше ограничить или полностью отключить возможность его выполнения.