Gargamel

تجميع

تم التجميع والاختبار باستخدام Rust 1.50+. افتح الطرفية في دليل المشروع ولتجميع بناء إصدار اكتب

cargo build --release

يمكن تجميع بناء التصحيح باستخدام

cargo build

الملف التنفيذي المجمّع موجود في target/release/gargamel.exe أو target/debug/gargamel.exe، على التوالي.

تعيين مستوى السجل

إذا كنت ترغب في تغيير مستوى التسجيل:

• افتح src/main.rs
• في السطرين 42 و43 قم بتغيير LevelFilter::Info إلى (مثلاً) LevelFilter::Trace لتسجيل أكثر تفصيلاً.
  • احذر أن LevelFilter::Trace سيسجل كل شيء بما في ذلك كلمات المرور.

دليل المستخدم

حالياً، يعمل هذا التطبيق فقط على Windows ويجب أن يستخدم الكمبيوتر المستهدف Windows أو Linux.

تأكد من وجود البرامج التالية في نفس الدليل الذي يحتوي على Gargamel.

• psexec, تحميل
• paexec, بديل مفتوح المصدر لـ PsExec، تحميل
• winpmem, أداة صورة ذاكرة مفتوحة المصدر، تحميل.
  • قم بتحميل أحدث ملف تنفيذي وأعد تسميته إلى winpmem.exe
• plink و pscp, عميلا SSH/SCP واجهة سطر أوامر مفتوحا المصدر، تحميل
• SharpRDP, منفذ أوامر مفتوح المصدر باستخدام RDP، تحميل
• WMImplant, منفذ أوامر WMI باستخدام PowerShell مفتوح المصدر، تحميل
• 7za.exe, نسخة مستقلة لوحدة التحكم من أداة الضغط 7zip، تحميل

ملاحظة: نحتاج كلاً من psexec و paexec. على الرغم من أن كلا التطبيقين يفترض أنهما متكافئان وظيفياً إلا أنهما في الواقع يظهران سلوكاً مختلفاً في بعض الظروف.

إطلاق قوة Gargamel

يجب تشغيل Gargamel من طرفية مرتفعة الصلاحيات ليكون كامل الوظائف. حالياً لا يدعم حوار UAC ولا أي نوع من الإشعارات عند التشغيل بصلاحيات محدودة. عند التشغيل بصلاحيات مستخدم محدودة، فإن بعض العمليات مثل تفريغ ذاكرة الهدف لن تعمل.

مثال أساسي

افترض أنك تريد الاتصال بجهاز كمبيوتر بالمعاملات التالية:

• العنوان 192.168.42.47
• اسم المستخدم Jano
• كلمة المرور nbusr123

الأمر التالي سيحصل على حالة جدار الحماية، حالة الشبكة، المستخدمين المسجلين، العمليات الجارية، اتصالات الشبكة النشطة، السجل، سجلات أحداث النظام والتطبيق باستخدام طريقة PsExec. سيتم تخزين الأدلة في الدليل testResults نسبةً إلى موقع Gargamel.

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults

سيطلب منك Gargamel كلمة مرور المستخدم البعيد، في مثالنا كلمة المرور هي nbusr123. لاحظ أن كلمة المرور ستكون مخفية أثناء الكتابة.

من الممكن أيضاً تحديد كلمة المرور مباشرة كوسيط برنامج.

gargamel.exe -c 192.168.42.47 -u Jano --psexec -p nbusr123 -o testResults

مثال نطاق

افترض أنك تريد الاتصال بجهاز كمبيوتر في نطاق بالمعاملات التالية:

• النطاق WORKSPACE
• اسم الكمبيوتر JanovPC
• اسم المستخدم Jano
• كلمة المرور nbusr123

الأمر التالي سيحصل على حالة جدار الحماية، حالة الشبكة، المستخدمين المسجلين، العمليات الجارية، اتصالات الشبكة النشطة، السجل، سجلات أحداث النظام والتطبيق باستخدام طريقة PsExec.

gargamel.exe -c JanovPC -u Jano -d WORKSPACE --psexec -o testResults

أو لتجنب طلب كلمة المرور قم بتحديدها مباشرة.

gargamel.exe -c JanovPC -u Jano -d WORKSPACE --psexec -p nbusr123 -o testResults

طرق اتصال أخرى

PsExec هي إحدى طرق الاتصال الخمس المدعومة. يمكنك استبدال --psexec بالخيارات التالية:

• --psexec
• --psrem, إذا تم تكوين الإدارة عن بعد لـ PowerShell على الجهاز الهدف.
• --rdp, إذا كان RDP ممكناً على الجهاز الهدف.
• --wmi.
• --ssh, إذا كان الجهاز الهدف يستخدم Linux.

من الممكن استخدام عدة طرق في نفس الوقت. على سبيل المثال لاستخدام كل من PsExec و RDP يمكن استخدام الأمر التالي.

gargamel.exe -c 192.168.42.47 -u Jano --psexec --rdp -o testResults

هناك أيضاً مفتاح خاص --all يعادل تحديد --psexec --rdp --psrem --wmi.

ملاحظة: معاملات التشغيل غير مرتبة، أي لا يهم الترتيب الذي تُحدد به المعاملات.

الحصول على الذاكرة

للحصول أيضاً على تفريغ الذاكرة، أضف العلامة -m إلى معاملات البرنامج، أي:

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults -m

إذا كنت ترغب في الحصول على تفريغ الذاكرة فقط دون أدلة أخرى فاستخدم الأمر التالي.

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults -m --no-events-search --no-evidence-search --no-registry-search                                                          

هذه الوظيفة متاحة فقط لأهداف Windows.

تشغيل أوامر مخصصة

يمكن لـ Gargamel تشغيل أوامر Windows CMD أو Linux shell مخصصة على الجهاز البعيد.

أولاً أنشئ ملفاً باسم custom-commands.txt بالمحتوى التالي.

# Will be run using any method
ipconfig
# Will run only when launching with at least one of --all, --psexec, --wmi methods
:psexec:wmi ipconfig -all

سيتم تخزين نتائج الأوامر أعلاه في الدليل المحدد بواسطة خيار -o.

لتشغيل الأوامر أعلاه المكتوبة في custom-commands.txt استخدم المفتاح -e، أي:

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults -e custom-commands.txt                                                           

تنزيل ملفات مخصصة

يمكن لـ Gargamel تنزيل الملفات البعيدة.

أولاً أنشئ ملفاً باسم custom-files.txt بالمحتوى التالي.

C:\Users\Public\sss*
C:\Users\Jano\danove.pdf 
# This line and the next one will be ignored
# C:\Users\Jano\somBajecny.pptx  

ملاحظة: أحرف البدل * و ? مدعومة ولكن حالياً فقط في أسماء الملفات، وليس في الدلائل الأصلية، أي C:\Users\J*\danove.pdf لن يعمل على الأرجح.

سيتم تخزين نتائج الأوامر أعلاه في الدليل المحدد بواسطة خيار -o.

لتشغيل الأوامر أعلاه المكتوبة في custom-files.txt استخدم المفتاح -s، أي:

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults -s custom-files.txt                                                           

جميع الخيارات

جميع المفاتيح المدعومة موصوفة أدناه.

USAGE:
    gargamel.exe [FLAGS] [OPTIONS] --user <user>