Почитал пентестерские байки от Rapid7.
1. Инвентаризация активов через AD.
2. Активное сканирование сети.
3. Распространенные способы не прошли ("BNS poisoning, SMB Signing not required, or IPv6-based attacks").
4. Атака на IPMI — интерфейс для управления функциями, встроенными в аппаратное и микроПО серверных платформ. Сбор IPMI хешей и их анализ. Нашли стандартные учётки типа "admin:admin" и "root:root".
5. Зашли в веб-интерфейс на трёх IPMI активах, увидели инстансы VMware ESXi, а также ip и url для админки VMware ESXi.
6. Получили доступ к VMware ESXi консолям (учётка такая же, что и для IPMI!), нашли на них основной контроллер домена (DC) и сервер Exchange.
7. Получили доступ к файловой системе DC, достали NTDS.DIT файл с NTLM хешами.
8. Демонстрация импакта: поиск критичной информации в email-ах и на шарах, рассылка писем от имени пользователей, сброс второго фактора.
В общем, основное это головотяпство. Хотя очень шумно делали, особенно сканирование.