Далее разговор с тобой бессмысленен. Как обычно

А если без хамства и по существу?

Я объяснил

И без хамства

https://t.me/pro_ansible/94561

Объясни, как ты введешь комп в домен без кредов доменного админа

Я весь внимание

Речь не про это

Речь не про это

А про что?

Речь про то, что имеется доменный комп. Который надо взломать

Домен априори защиту не повышает.

Нужен комплекс мер, чтобы это работало.

Речь про то, что имеется доменный комп. Который надо взломать

С локальным доступом можно взломать только локальную учетку

Условно - взломай локальную учётку админа, а потом поставь кейлоггер общесистемно

Домен априори защиту не повышает.

Повышает

Далее входит локально доменный админ и понеслась

Условно - взломай локальную учётку админа, а потом поставь кейлоггер общесистемно

Комп в домен кто будет вводить после сброса?

Комп в домен кто будет вводить после сброса?

Кто его выводил из домена ???

Окей, пускай там все под битлокером, пребут шифрование и все дела, тогда сдаюсь 😂😂😂😂

А ты как думал?

Я ничего не думал. Я пояснил, что домен это хорошо, но для безопасности этого недостаточно

И у коллеги #странная проблема, но ее можно решить (и без домена)

Без домена нет смысла решать такую задачу

Потому что это будет построение откровенно плохого, неустойчивого и небезопасного решения

Которое в будущем обязательно навернется

Сейчас мне нужна автоматизация настроек и установки ПО

А до домена позже дойдем

Условно - взломай локальную учётку админа, а потом поставь кейлоггер общесистемно

Можно даже проще, после локального админа получаешь хэш пароля доменного администратора (который хранится там и после ребута), и все... тот же psexec в meterpreter требует только хэш p.s. но не исключаю что инфа устарела на пару лет

Можно даже проще, после локального админа получаешь хэш пароля доменного администратора (который хранится там и после ребута), и все... тот же psexec в meterpreter требует только хэш p.s. но не исключаю что инфа устарела на пару лет

А вот @tgadiev не верит

Можно даже проще, после локального админа получаешь хэш пароля доменного администратора (который хранится там и после ребута), и все... тот же psexec в meterpreter требует только хэш p.s. но не исключаю что инфа устарела на пару лет

Это все работает лишь в условиях дырявого SMB и неотключенных админских шар. WinRM как раз и был придуман для того, чтобы уйти от psexec и прочих аналогичных тулзов, использующих потенциально опасные дырки в системах

Т.е. хэш доменного пользователя, получив локальный админский доступ к системе, можно получить, да. Но, вот, попасть на удаленные системы с ним нельзя, если там нормально настроен доступ

Ну пусть будет так, спорить я не буду, слава богу, уже давно не работаю с AD. Но мысль о том, что домен усиливает безопасность - это заблуждение, имхо.

Ну пусть будет так, спорить я не буду, слава богу, уже давно не работаю с AD. Но мысль о том, что домен усиливает безопасность - это заблуждение, имхо.

Это не заблуждение, а как раз очевидная реальность

Вот без домена первое же проникновение на любой комп в сети компрометирует всю сеть со всеми ресурсами

Гарантированно

А с нормально настроенным доменом такое невозможно. Ну, если у админов голова на плечах есть, конечно

Вот без домена первое же проникновение на любой комп в сети компрометирует всю сеть со всеми ресурсами

При условиях : 1. Есть общие сетевые шары 2. Везде один и тот же пароль локального админа

При условиях : 1. Есть общие сетевые шары 2. Везде один и тот же пароль локального админа

Так он и есть один и тот же, как нам сказали. Как же иначе-то?

Или кто-то хочет где-то хранить и регулярно ручками обновлять табличку с 500 админных учеток? 😏

Так он и есть один и тот же, как нам сказали. Как же иначе-то?

Можно точную цитату? Это из слов коллеги не следовало, но скорее всего по обычаю так

Если общих сетевых ресурсов нет, то я не очень понимаю, что это за организация. Интернет-кафе, где у каждого компа выход только напрямую в интернет без всякой локалки?

вот

Локальный админ +/- один и тот же

Если делать 500 разных учеток - это будет вообще ад

Проще будет сбрасывать нахер пароль каждый раз, когда доступ нужен, чем искать нужный в табличке из 500 записей

Объясни, как ты введешь комп в домен без кредов доменного админа

так любой доменный юзер же имеет право заджойнить в домен 10 машин, по дефолту. Кстати буду благодарен, если кто-то обьяснит зачем это нужно?

так любой доменный юзер же имеет право заджойнить в домен 10 машин, по дефолту. Кстати буду благодарен, если кто-то обьяснит зачем это нужно?

Вряд ли. Не может

Вряд ли. Не может

https://blogs.technet.microsoft.com/dubaisec/2016/02/01/who-can-add-workstation-to-the-domain/

так любой доменный юзер же имеет право заджойнить в домен 10 машин, по дефолту. Кстати буду благодарен, если кто-то обьяснит зачем это нужно?

Это в тупых дефолтных настройках. См. выше пункт про голову на плечах у админов

Сейчас мне нужна автоматизация настроек и установки ПО

возьмите chef. он у меня обслуживал около 2к компов и решало ваши задачи по сути схема была такая: ставим шефа агент сливает и запускает ps-скрипт далее - в бесконечность и еще далее

Так. Какого фига в чате по ансиблу обсуждаем солт, шеф, да что угодно?....

Так. Какого фига в чате по ансиблу обсуждаем солт, шеф, да что угодно?....

я просто поделился опытом. я решал похожую проблему, сказал об этом. неужели это проблема?

я просто поделился опытом. я решал похожую проблему, сказал об этом. неужели это проблема?

Нерелевантность озвученного опыта изначальному запросу - да, проблема. У этого чатика есть вполне конкретная тема. Если постоянно на неё забивать - это станет проблемой гораздо быстрее, чем хотелось бы.

Это _не_ чат по системному админинстрированию.

тоесть тот факт что эту проблему обсуждали полтора часа - это норма, а мой комментарий - беда беда? ну хорошо, пусть будет так. я собственно то говоря дальше развивать эту тему и не собирался

тоесть тот факт что эту проблему обсуждали полтора часа - это норма, а мой комментарий - беда беда? ну хорошо, пусть будет так. я собственно то говоря дальше развивать эту тему и не собирался

Ничуть, правила одни для всех, это абсолютно одинаково относилось ко всем, а не только к тебе.

Всем привет! Что-то окончательно запуталась. Скачала отсюда https://github.com/CFSworks/ansible-routeros архив. Распаковала. Расположение скачанного архива в ~/mikrotiks/ansible-routeros в ansible-routeros поместила 2 файла: run_mikrotiks.sh и run_mikrotiks.yml. Содержимое run_mikrotiks.sh: #!/bin/bash ansible-playbook -i ../inventory/hosts run_mikrotiks.yml содержимое run_mikrotiks.yml: --- - hosts: mikrotiks user: Di tasks: -name: test log routeros_command: commands: /system identity print Ругается на то что не знает что такое routeros_command. Что делаю не так?

а разве ансибл из коробки научился поддерживать миктор?

а разве ансибл из коробки научился поддерживать миктор?

много где пишут что научился, но не получилось

а версия ансибла какая?

1.7.2

аэм... при условии что вышла 2.8 мне кажется что вы как-то подотстали и стоит обновиться

ок, спасибо, пошла гуглить как это сделать...)

pip --update ansible

о, значит сделала что-то не то, ок, потом так сделаю)

сейчас говорит что час будет думать...

а что вы там сделали? систему переставляете?)

а что вы там сделали? систему переставляете?)

возможно))

возможно))

сегодня можно держать столько параллелльно установленных версий ансибла на 1 компьютере - сколько нужно. непонятно зачем вам систему переустанавливать.

сегодня можно держать столько параллелльно установленных версий ансибла на 1 компьютере - сколько нужно. непонятно зачем вам систему переустанавливать.

уже все, уже переустановила, последний ансибл, все сломала...

уже все, уже переустановила, последний ансибл, все сломала...

можешь вернуть старое из бэкапа?

а есть какое-нибудь коммьюнити для совсем совсем глупых вопросов?

можешь вернуть старое из бэкапа?

ансибл перенесла на соседний комп) там пока жив)

а есть какое-нибудь коммьюнити для совсем совсем глупых вопросов?

таких не бывает. только их придется спросить.

таких не бывает. только их придется спросить.

у меня сейчас ругается на странное в рабочих в старой версии файлах

если есть старый код на старых версиях, имеет смысл не прыгать выше пупка.

есть?

ему не нравится -hosts: mikrotiks

говорит не в контексте

посмотри на структуру каталога проекта ансибл на оф. сайте.

(mikrotiks в inventory/hosts есть, ссылка на inventory правильная)