Перейти к основному содержимому

Pivoting, post-exploitation и отчёты

ОБЯЗАТЕЛЬНО
Инженеру Менеджеру

Раздел 8.10, шаг 9 из 9. Предыдущий — AD и сервисы. Итоги — Тестирование на проникновение — итоги.

Post-exploitation — зачем после shell​

Foothold (первая shell на DMZ) редко равен цели engagement. Post-exploitation отвечает на вопросы:

  • Какие учётные данные на хосте (memory, files, tickets)?
  • Куда pivot дальше (internal VLAN, AD)?
  • Какой максимальный impact доказуем за оставшееся время?
  • Что зафиксировать для отчёта без лишнего exfil?

Фаза строго в scope: "достичь Domain Admin" vs "только доказать возможность чтения /etc/shadow на одном host".

Pivoting и lateral movement​

Pivoting​

Pivot — использование скомпрометированного хоста как моста в сеть, недоступную напрямую с Kali.

МетодСуть
SSH -D / -LSOCKS или port forward через jump host
Metasploit routeroute add + socks_proxy
ligolo / chiselReverse tunnel modern
ProxychainsНаправить nmap через SOCKS

Пример SSH dynamic forward (lab):

ssh -D 1080 user@pivot-host
proxychains nmap -sT -Pn 10.10.10.0/24

Lateral movement​

Переход между хостами одной сети с новыми creds:

  • Pass-the-Hash (SMB).
  • PSExec / WinRM / WMI (Impacket psexec.py, wmiexec.py).
  • RDP с украденными creds.
  • SSH key reuse (id_rsa в home).

CrackMapExec для lateral (lab):

crackmapexec smb 10.10.10.0/24 -u admin -H NTLM_HASH --local-auth

Privilege escalation — Windows​

Цель — SYSTEM или Domain Admin.

Enumeration​

whoami /priv
whoami /groups
systeminfo
wmic qfe

Инструменты — WinPEAS, PowerUp, Seatbelt (lab).

Типовые векторы​

ВекторПример
Unquoted service pathC:\Program Files\ vuln svc.exe
Weak service ACLsc sdshow service → modifiable
AlwaysInstallElevatedMSI as SYSTEM
Token impersonationSeImpersonate → PrintSpoofer, GodPotato
Kernel exploitCVE для версии OS (last resort)
GPO / AD misconfigBloodHound path

Potato-family exploits abusing SeImpersonate — часты на IIS app pools в lab.

Credentials​

  • Mimikatz / sekurlsa (lab, triggers EDR).
  • LSASS dump → offline secretsdump.py.
  • SAM if local admin.

Privilege escalation — Linux​

sudo -l
find / -writable -type f 2>/dev/null
getcap -r / 2>/dev/null
uname -a
ВекторПример
SUIDfind, vim, custom binary
Sudo misconfigsudo vim → :!/bin/sh
CronWritable script run as root
Kernel exploitDirtyPipe, PwnKit (match kernel)
Docker socket/var/run/docker.sock → mount host

LinPEAS — автоматический enum (осторожно — шумный).

Persistence — граница ethics​

Persistence (backdoor, scheduled task, golden ticket) вне scope обычного пентеста. Допустимо только если ROE явно требует Red Team simulation и есть cleanup date.

Для стандартного пентеста достаточно доказать временный доступ + рекомендация "атакующий мог бы установить persistence".

Сбор доказательств​

АртеfactНазначение
Скриншотыwhoami, ipconfig, sensitive masked
Command logRedacted history
Network mapДо/после pivot
TimestampsUTC + local
Hashes filesIntegrity of PoC scripts
pcap (optional)Для спорных findings

Не включать в отчёт — реальные пароли, полные дампы БД, private customer data. Заменить на "[REDACTED]" и synthetic rows.

Отчёт коммерческого уровня​

Enterprise-отчёт состоит из двух слоёв:

Executive summary (1–3 страницы)​

  • Overall posture (Critical/High count, trend vs прошлый год).
  • Top 3 business risks на языке бизнеса ("утечка договоров через IDOR").
  • Key recommendations с owners и сроками.
  • Scope и limitations ("internal AD out of scope").

Technical report​

Структура:

  1. Methodology — PTES, инструменты, даты, team.
  2. Scope — таблица in/out.
  3. Findings summary — таблица ID, title, severity, status.
  4. Detailed findings — каждая уязвимость:
    • Title + ID (PT-2026-001)
    • Severity (CVSS vector + narrative risk)
    • Affected assets
    • Description
    • Steps to reproduce (numbered)
    • Evidence (figures)
    • Impact (CIA + compliance если уместно)
    • Remediation (specific)
    • References (CWE, CVE, OWASP)
  5. Attack narrative — story одной цепочки (optional, high value).
  6. Appendices — glossary, tool output samples, scan configs.
Attack narrative

Заказчики запоминают историю ("атакующий за 4 часа дошёл от VPN до payroll DB") лучше, чем 40 disconnected Medium. Выделите 2–4 страницы на один реалистичный path.

Шкала severity в enterprise​

Помимо CVSS — contextual risk:

ФакторПовышает risk
Asset tierProduction, PCI, ПДн
ExploitabilityNo auth, public internet
Compensating controlsWAF bypass доказан
Blast radiusDomain-wide

Шаблон finding — см. 8.09/2.

Remediation roadmap​

PrioritySLA (пример)Пример finding
P024–72 hExternal unauth RCE
P12 weeksAD Kerberoastable SPN weak
P230 daysMissing HSTS
P390 daysVersion disclosure

Retest (validation)​

После патча — retest только затронутых findings. Статусы:

  • Fixed — не воспроизводится.
  • Partially fixed — обход остаётся.
  • Not fixed — без изменений.
  • Accepted risk — подписанное исключение.

Презентация для стейкholders​

  • 30 мин max; без live exploit demo на prod.
  • Diagram attack path.
  • Demo redacted screenshots.
  • Q&A с SOC и dev leads.

Практическое задание​

  1. С foothold на lab: SSH pivot или proxychains на internal /24.
  2. Windows или Linux privesc одним documented vector.
  3. Напишите attack narrative (1 страница) от initial access до goal.
  4. Оформите 2 findings + executive summary (half page) по шаблону выше.

Связанные материалы​

Содержание