Техники Diamond Ticket и Sapphire Ticket — новые направления в развитии атак на Active Directory. «Сапфировый» вариант — это прокачанная версия «алмазного»: если Diamond Ticket просто изменяет PAC, то Sapphire подставляет вместо него PAC другого привилегированного пользователя. В этой статье мы как следует разберем, как именно работают такие атаки.

Атака «Алмазный билет» (Diamond Ticket) — это новое слово в мире эксплуатации Active Directory (AD). Она завязана на хитроумные недочеты в аутентификации и авторизации Kerberos. В этой статье мы разберем все технические тонкости этой атаки: выясним, какую роль играют Privilege Attribute Certificates (PAC), и узнаем, почему окружение AD так уязвимо. Напоследок вооружим тебя подробными советами по обнаружению угрозы.

Все крутые вредоносы стараются прятать использование вызовов WinAPI, ведь наличие подозрительных функций в коде может привести к блокировке исполнения нашей программы. Существует не так много документированных способов скрыть вызовы WinAPI, однако у меня есть пара любопытных разработок, и я готов ими поделиться. Мы попрактикуемся в сканировании памяти, исследовании компонентов Windows и даже немного затронем RPC.

Все чаще системы EDR стали прибегать к такой могучей технике, как трассировка стека вызовов, чтобы обнаруживать деятельность зловредных приложений и портить жизнь редтимерам. В этой статье я расскажу, как работает этот метод, а потом попробуем сыграть в прятки с EDR и вызвать NTAPI так, чтобы даже раскрутка стека не обнаружила подвоха.

Этот месяц принес нам критическую уязвимость Node.js, ставящую под удар множество программ на этом языке, а также большой урожай багов в продуктах Microsoft, получивших патчи во «вторник обновлений».

Сегодня на примере несложной лабораторной работы я продемонстрирую базовые техники работы с Active Directory при пентестах. Мы получим информацию через нулевую сессию SMB, проведем разведку и захватим аккаунт администратора через привилегию SeBackupPrivilege.

Думаю, ты уже много раз слышал, что поддержку NTLM Relay в Windows вот‑вот отключат. Я тоже слышал это не раз, но сейчас начало 2025 года, и почти на каждом проекте я до сих пор встречаю NTLM Relay. Сегодня я расскажу про актуальные техники Relay-атак, связанные с SCCM, а также методы защиты от них.

COM-объекты в Windows могут застревать в неожиданных местах — и это не баг, а фича, которой можно воспользоваться. Через интерфейс IDispatch и библиотеки типов можно не просто управлять удаленными объектами, а внедрять код в защищенные процессы (PPL), обходя механизмы безопасности Microsoft. Последнее исследование Project Zero рассказывает, как это сделать.

Сегодня на примере расследования инцидента я покажу, как иногда можно найти улики в кеше RDP. Изучив закешированные данные удаленного графического подключения, мы буквально увидим, что делал злоумышленник.

В Windows есть много средств межпроцессного взаимодействия. Одно из них — именованные каналы, в народе — пайпы. Давай попробуем направить всю мощь ввода‑вывода на благо пентеста и научимся злоупотреблять этим механизмом сообщений. Пусть никто не уйдет без эскалации привилегий!

Тебе, вероятно, уже надоело читать статьи о программах для Windows? Попробуем исправить эту несправедливость и вспомним про Apple Macintosh. Тот самый, винтажный, на процессоре PowerPC. Сегодня мы будем препарировать написанное под эту древнюю технику приложение, чтобы дать ему вторую жизнь.

В этой статье мы разберемся, по каким признакам можно узнать, что хакер уже вовсю орудует в твоем домене, автоматизируем процесс обнаружения этих атак и предусмотрим средства противодействия.