Rastro de movimiento lateral en registros de dominio

3 tareas · 20 min · Principiante

Audita las marcas forenses de desplazamiento lateral en Active Directory: tickets TGS cifrados con AES y administración remota sobre WinRM.

0 de 3 · 0%

Objetivo de la sala

Audita las marcas forenses de desplazamiento lateral en Active Directory: tickets TGS cifrados con AES y administración remota sobre WinRM.

El uso de algoritmos modernos y robustos en la solicitud de tickets de servicio evita que las alertas de cifrado obsoleto (RC4) se activen en la consola del SOC.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Indica el algoritmo criptográfico documentado en auditoria_movimiento_lateral_logs.txt.

Ver pista de ayuda

Consulta auditoria_movimiento_lateral_logs.txt en el directorio lateral.

Para ejecutar comandos en servidores internos sin desplegar binarios adicionales, el operador utilizó el servicio nativo de administración remota de Windows.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Extrae el canal de salto remoto registrado en el archivo de auditoría.

Ver pista de ayuda

Revisa la última línea de auditoria_movimiento_lateral_logs.txt.

¿Qué proceso del sistema operativo Windows se instancia como proceso hijo de wsmprovhost.exe cuando se ejecuta una sesión remota de WinRM?

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Determina el proceso hijo característico instanciado por WinRM en conexiones remotas.

notepad.exe abriendo un archivo de texto en pantalla calc.exe realizando operaciones matemáticas en segundo plano powershell.exe o cmd.exe ejecutándose bajo el contexto del usuario autenticado que inició la sesión de administración remota explorer.exe mostrando la interfaz de escritorio completa

Ver pista de ayuda

wsmprovhost.exe engendra powershell.exe o cmd.exe para ejecutar los comandos remotos.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: exam1-lateral.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Cifrado de Tickets en Kerberos Lab

2 Canal de Salto Remoto Lab

3 Huella de Telemetría de WinRM Lab

Whoami-Labs Pro utiliza cookies