Gargamel

Compilazione

Compilato e testato con Rust 1.50+. Apri il terminale nella directory del progetto e per compilare una build di release digita

cargo build --release

La build di debug può essere compilata usando

cargo build

L'eseguibile compilato si trova rispettivamente in target/release/gargamel.exe o target/debug/gargamel.exe.

Imposta il livello di log

Se desideri cambiare il livello di logging:

• Apri src/main.rs
• Nelle righe 42 e 43 cambia LevelFilter::Info in (ad esempio) LevelFilter::Trace per un logging più dettagliato.
  • Attenzione: LevelFilter::Trace registrerà tutto, comprese le password.

Guida utente

Al momento, questa app funziona solo su Windows e il computer di destinazione deve utilizzare Windows o Linux.

Assicurati di avere i seguenti programmi nella stessa directory di Gargamel.

• psexec, download
• paexec, un'alternativa open source a PsExec, download
• winpmem, uno strumento open source per immagini di memoria, download.
  • Scarica l'eseguibile più recente e rinominalo in winpmem.exe
• plink e pscp, client CLI SSH/SCP open source, download
• SharpRDP, un esecutore di comandi open source tramite RDP, download
• WMImplant, un esecutore di comandi PowerShell WMI open source, download
• 7za.exe, una versione console standalone dell'archiviatore 7zip, download

Nota: sono necessari sia psexec che paexec. Sebbene entrambe le applicazioni siano considerate funzionalmente equivalenti, in realtà hanno comportamenti diversi in alcune circostanze.

Sfruttare la potenza di Gargamel

Gargamel deve essere avviato da un terminale con privilegi elevati per essere completamente funzionale. Attualmente non supporta la finestra di dialogo UAC né alcun tipo di notifica quando viene eseguito con privilegi limitati. Quando viene eseguito con privilegi utente limitati, alcune operazioni come il dump della memoria di destinazione non funzioneranno.

Esempio base

Supponiamo di voler connettere un computer con i seguenti parametri:

• indirizzo 192.168.42.47
• nome utente Jano
• password nbusr123

Il seguente comando acquisirà lo stato del firewall, lo stato della rete, gli utenti connessi, i processi in esecuzione, le connessioni di rete attive, il registro, i log degli eventi di sistema e applicazioni utilizzando il metodo PsExec. Le evidenze verranno memorizzate nella directory testResults relativa alla posizione di Gargamel.

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults

Gargamel ti chiederà la password dell'utente remoto, nel nostro esempio la password è nbusr123. Nota che la password sarà nascosta durante la digitazione.

È anche possibile specificare la password direttamente come argomento del programma.

gargamel.exe -c 192.168.42.47 -u Jano --psexec -p nbusr123 -o testResults

Esempio di dominio

Supponiamo di voler connettere un computer in un dominio con i seguenti parametri:

• dominio WORKSPACE
• nome computer JanovPC
• nome utente Jano
• password nbusr123

Il seguente comando acquisirà lo stato del firewall, lo stato della rete, gli utenti connessi, i processi in esecuzione, le connessioni di rete attive, il registro, i log degli eventi di sistema e applicazioni utilizzando il metodo PsExec.

gargamel.exe -c JanovPC -u Jano -d WORKSPACE --psexec -o testResults

Oppure per saltare la richiesta della password specificare la password direttamente.

gargamel.exe -c JanovPC -u Jano -d WORKSPACE --psexec -p nbusr123 -o testResults

Altri metodi di connessione

PsExec è uno dei 5 metodi di connessione supportati. Puoi sostituire --psexec con le seguenti opzioni:

• --psexec
• --psrem, se il remoting PowerShell è configurato sulla macchina di destinazione.
• --rdp, se RDP è abilitato sulla macchina di destinazione.
• --wmi.
• --ssh, se la macchina di destinazione utilizza Linux.

È possibile utilizzare più metodi contemporaneamente. Ad esempio, per utilizzare sia PsExec che RDP si può usare il seguente comando.

gargamel.exe -c 192.168.42.47 -u Jano --psexec --rdp -o testResults

Esiste anche un'opzione speciale --all che equivale a specificare --psexec --rdp --psrem --wmi.

Nota: I parametri di avvio sono indipendenti dall'ordine, cioè non importa in quale ordine vengono specificati.

Acquisisci memoria

Per acquisire anche il dump della memoria, aggiungi semplicemente il flag -m ai parametri del programma, ad esempio

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults -m

Se desideri acquisire SOLO il dump della memoria senza altre evidenze, usa il seguente comando.

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults -m --no-events-search --no-evidence-search --no-registry-search                                                          

Questa funzionalità è disponibile solo per destinazioni Windows.

Esegui comandi personalizzati

Gargamel può eseguire comandi personalizzati di Windows CMD o shell Linux sulla macchina remota.

Per prima cosa crea un file custom-commands.txt con il seguente contenuto.

# Will be run using any method
ipconfig
# Will run only when launching with at least one of --all, --psexec, --wmi methods
:psexec:wmi ipconfig -all

I risultati dei comandi precedenti verranno memorizzati nella directory specificata dall'opzione -o.

Per eseguire i comandi sopra scritti in custom-commands.txt usa l'opzione -e, ad esempio

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults -e custom-commands.txt                                                           

Scarica file personalizzati

Gargamel è in grado di scaricare file remoti.

Per prima cosa crea un file custom-files.txt con il seguente contenuto.

C:\Users\Public\sss*
C:\Users\Jano\danove.pdf 
# This line and the next one will be ignored
# C:\Users\Jano\somBajecny.pptx  

Nota: I caratteri jolly * e ? sono supportati ma attualmente solo nei nomi dei file, non nelle directory principali, ad esempio C:\Users\J*\danove.pdf molto probabilmente non funzionerà.

I risultati dei comandi precedenti verranno memorizzati nella directory specificata dall'opzione -o.

Per eseguire i comandi sopra scritti in custom-files.txt usa l'opzione -s, ad esempio

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults -s custom-files.txt                                                           

Tutte le opzioni

Tutte le opzioni supportate sono descritte di seguito.

USAGE:
    gargamel.exe [FLAGS] [OPTIONS] --user <user>