Брутфорс доменных учетныз записей по протоколу SMB

290 02.10.2026 13:58

Шабуылдаушының доменге кірмеген жұмыс станциясынан (192.168.0.234) SMB протоколы арқылы домендік жұмыс станциясын ws2025.socpedia.net сканерлеу.

Фильтрді тазалау

Өріс

Мән	Кездесулер	Оқиғалар

Жылдам іздеу

Таймлайнды жылдам сүзу үшін өрістер мен мәндерді таңдаңыз.

Өрістер

Кеңейтілген іздеу

Өріс шарттарын AND, OR және AND NOT арқылы құрастырыңыз.

Топтар операторы

Параметр сипаттамасы және мысал

Топтар операторы Жоғарғы деңгейде топтарды біріктіреді: AND барлық топтың, OR кемінде бір топтың сәйкес келуін талап етеді.

Operator Топ ішінде AND барлық шарттың, OR кемінде бір шарттың сәйкес келуін талап етеді, ал AND NOT сәйкес оқиғаларды алып тастайды.

Өріс Тексерілетін оқиға өрісі, мысалы Event ID, оқиға атауы, AuthenticationPackageName немесе IpAddress.

Condition contains / not contain мәтін ішінен іздейді, equals / not equals толық мәнді салыстырады, exists өрісте мән барын, empty мән жоғын тексереді.

Values OR енгізілген мәндердің кез келгенімен сәйкес келеді. AND барлық енгізілген мәннің бір өрісте сәйкес келуін талап етеді.

Мәндерді іздеу Мәнді енгізіп, қосу үшін Enter басыңыз. Қосылған мәндерді жеке-жеке өшіруге болады. exists және empty үшін мән өрісі еленбейді.

Example

Сәтті кіру оқиғаларын табу, бірақ localhost белсенділігін алып тастау:

Event ID equals 4624
OR оқиға атауы contains logon
AND NOT IpAddress equals 127.0.0.1

Кеңейтілген шарттар жоқ.

Фильтр файлын бөлісу

Импорт

Табылған оқиғалар: 205 / Барлық оқиғалар: 205

#201 2026-10-02 13:11:43

Неопределено (4000 "Microsoft-Windows-SMBServer/Connectivity") Анықталмаған

192.168.0.231

Сәйкестендірілген негізгі өрістер жоқ.

#202 2026-10-02 13:11:43

An account was logged off (4634 "Security")

192.168.0.231

ws2025.socpedia.net

localadmin

Logon Type

Subject: Security ID: S-1-5-21-1838030176-2987033226-1986555923-1140
Subject: Account Name: localadmin
Subject: Account Domain: SOCPEDIA
Subject: Logon ID: 0x15b863c5
Logon Type: 3
IP: 192.168.0.231
Computer: ws2025.socpedia.net
ProcessPID: 860
ThreadID: 1816

#203 2026-10-02 13:11:45

Network connection (3 "Microsoft-Windows-Sysmon/Operational")

192.168.0.231

ws2025.socpedia.net

DestinationIp

192.168.0.231

DestinationHostname: ws2025.socpedia.net
DestinationIp: 192.168.0.231
DestinationIsIpv6: false
DestinationPort: 445
DestinationPortName: microsoft-ds
Image: System
Initiated: false
Process GUID: {93585ce4-2878-6aaa-eb03-000000000000}
Process ID: 4
Protocol: tcp
RuleName: v1-0_eventID3
SourceHostname: -
SourceIp: 192.168.0.234
SourceIsIpv6: false
SourcePort: 42806
SourcePortName: -
User: NT AUTHORITY\SYSTEM
UTC Time: 2026-10-02 08:12:44.017
IP: 192.168.0.231
Computer: ws2025.socpedia.net
ProcessPID: 3344
ThreadID: 3412

#204 2026-10-02 13:11:45

Network connection (3 "Microsoft-Windows-Sysmon/Operational")

192.168.0.231

ws2025.socpedia.net

DestinationIp

192.168.0.231

DestinationHostname: ws2025.socpedia.net
DestinationIp: 192.168.0.231
DestinationIsIpv6: false
DestinationPort: 445
DestinationPortName: microsoft-ds
Image: System
Initiated: false
Process GUID: {93585ce4-2878-6aaa-eb03-000000000000}
Process ID: 4
Protocol: tcp
RuleName: v1-0_eventID3
SourceHostname: -
SourceIp: 192.168.0.234
SourceIsIpv6: false
SourcePort: 42820
SourcePortName: -
User: NT AUTHORITY\SYSTEM
UTC Time: 2026-10-02 08:12:44.018
IP: 192.168.0.231
Computer: ws2025.socpedia.net
ProcessPID: 3344
ThreadID: 3412

#205 2026-10-02 13:11:54

An account was logged off (4634 "Security")

192.168.0.210

DC.socpedia.net

WS2025$

Logon Type

Subject: Security ID: S-1-5-21-1838030176-2987033226-1986555923-1136
Subject: Account Name: WS2025$
Subject: Account Domain: SOCPEDIA
Subject: Logon ID: 0x1715ebf4
Logon Type: 3
IP: 192.168.0.210
Computer: DC.socpedia.net
ProcessPID: 844
ThreadID: 720

Оқиға атауы
Оқиға ID
Access Request Information: Accesses
Account Whose Credentials Were Used: Account Domain
Authentication Package
AvFlags
AvlFlags String
Calling process domain identity
Calling Process Name
Calling process PID
Calling process user identity
Client Address
Client Address Length
Client certificate thumbprint
Client Name
Client Name Length
Computer
Connection GUID
Connection ID
Connection Type
Creator Subject: Account Domain
Creator Subject: Account Name
Creator Subject: Logon ID
DestinationHostname
DestinationIp
DestinationIsIpv6
DestinationPort
DestinationPortName
Detailed Authentication Information: Authentication Package
Detailed Authentication Information: Logon Process
Detailed Authentication Information: Transited Services
Failure Reason
GroupMembership
Image
ImpersonationLevel
Initiated
Instance Name
IP
Key Length
LM Package Name
Local Address
Logon Information: Remote Credential Guard
Logon Information: Restricted Admin Mode
Logon Type
Mechanism
MIC Status
Network Information: Source Network Address
Network Information: Source Port
Network Information: Workstation Name
New Logon: Logon GUID
New Logon: Logon ID
NTLM Security: Channel Binding
NTLM Security: Negotiated Flags
NTLM Security: Session Key Status
NTLM Version
Object: Object Type
Port Origin
Process
Process GUID
Process ID
Process: Process ID
ProcessPID
Protocol
ReasonCode
Remote Address
Remote Client Information: Client IP
Remote Client Information: Client Network Name
Remote Client Information: Domain
Remote Client Machine
Requested Operation: Desired Access
Requested Operation: Privileges
Rule Name
Server name
Service Binding
Service Host Tag
Session GUID
Session ID
Session ID
Share Information: Share Name
Share Information: Share Path
Source Workstation
SourceHostname
SourceIp
SourceIsIpv6
SourcePort
SourcePortName
SPN
SPN Validation Policy
Status
Status Message
Sub Status
Subject: Account Name
Subject: Security ID
Target Domain
Target Machine
Target Subject: Security ID
ThreadID
Translated Status
User
User
Username
UserName Length
UTC Time

Брутфорс доменных учетныз записей по протоколу SMB

Неопределено (4000 "Microsoft-Windows-SMBServer/Connectivity") Анықталмаған

An account was logged off (4634 "Security")

Network connection (3 "Microsoft-Windows-Sysmon/Operational")

Network connection (3 "Microsoft-Windows-Sysmon/Operational")

An account was logged off (4634 "Security")

SOCpedia - білім платформасы