alt text

Gargamel

コンパイル

Rust 1.50以上でコンパイルおよびテスト済み。プロジェクトディレクトリでターミナルを開き、リリースビルドをコンパイルするには次のように入力します。

cargo build --release

デバッグビルドは次のようにコンパイルできます。

cargo build

コンパイルされた実行ファイルはそれぞれ target/release/gargamel.exe または target/debug/gargamel.exe にあります。

ログレベルの設定

ログレベルを変更する場合：

src/main.rs を開きます。
42行目と43行目で LevelFilter::Info を (例) LevelFilter::Trace に変更すると、より詳細なログが記録されます。
- LevelFilter::Trace はパスワードを含むすべてをログに記録することに注意してください。

ユーザーガイド

現在、このアプリはWindowsでのみ動作し、対象コンピュータはWindowsまたはLinuxを使用している必要があります。

Gargamelと同じディレクトリに以下のプログラムがあることを確認してください。

psexec、ダウンロード
paexec、PsExecのオープンソース代替、ダウンロード
winpmem、オープンソースのメモリイメージツール、ダウンロード。
- 最新の実行ファイルをダウンロードし、winpmem.exe にリネームしてください。
plink および pscp、オープンソースのCLI SSH/SCPクライアント、ダウンロード
SharpRDP、RDPを使用したオープンソースのコマンド実行ツール、ダウンロード
WMImplant、オープンソースのPowerShell WMIコマンド実行ツール、ダウンロード
7za.exe、7zipアーカイバのスタンドアロンコンソールバージョン、ダウンロード

注：psexec と paexec の両方が必要です。両方のアプリケーションは機能的に同等とされていますが、実際には状況によって異なる動作をすることがあります。

Gargamelの力を解き放つ

Gargamelを完全に機能させるには、管理者権限のターミナルから起動する必要があります。現在、制限された権限で実行する場合、UACダイアログや通知をサポートしていません。制限されたユーザー権限で実行すると、ターゲットのメモリダンプなどの一部の操作は機能しません。

基本例

以下のパラメータでコンピュータに接続するとします：

アドレス 192.168.42.47
ユーザー名 Jano
パスワード nbusr123

次のコマンドは、PsExecメソッドを使用してファイアウォール状態、ネットワーク状態、ログインユーザー、実行中のプロセス、アクティブなネットワーク接続、レジストリ、システムおよびアプリケーションのイベントログを取得します。証拠はGargamelの場所からの相対パスでtestResultsディレクトリに保存されます。

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults

Gargamelはリモートユーザーのパスワードを要求します。この例ではパスワードはnbusr123です。パスワードは入力時に非表示になることに注意してください。プログラムの引数としてパスワードを直接指定することも可能です。

gargamel.exe -c 192.168.42.47 -u Jano --psexec -p nbusr123 -o testResults

ドメインの例

以下のパラメータでドメイン内のコンピュータに接続するとします：

ドメイン WORKSPACE
コンピュータ名 JanovPC
ユーザー名 Jano
パスワード nbusr123

次のコマンドは、PsExecメソッドを使用してファイアウォール状態、ネットワーク状態、ログインユーザー、実行中のプロセス、アクティブなネットワーク接続、レジストリ、システムおよびアプリケーションのイベントログを取得します。

gargamel.exe -c JanovPC -u Jano -d WORKSPACE --psexec -o testResults

または、パスワードの入力をスキップするには、パスワードを直接指定します。

gargamel.exe -c JanovPC -u Jano -d WORKSPACE --psexec -p nbusr123 -o testResults

その他の接続方法

PsExecはサポートされている5つの接続方法の1つです。 --psexec を以下のオプションに置き換えることができます：

--psexec
--psrem、対象マシンでPowerShellリモート処理が設定されている場合。
--rdp、対象マシンでRDPが有効になっている場合。
--wmi。
--ssh、対象マシンがLinuxの場合。

複数のメソッドを同時に使用することもできます。例えば、PsExecとRDPの両方を使用するには、次のコマンドを使用できます。

gargamel.exe -c 192.168.42.47 -u Jano --psexec --rdp -o testResults

また、特別なスイッチ --all があり、これは --psexec --rdp --psrem --wmi を指定したのと同じです。

注：起動パラメータの順序は任意です。つまり、パラメータを指定する順序は重要ではありません。

メモリの取得

メモリダンプも取得するには、プログラムのパラメータに-mフラグを追加するだけです。

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults -m

他の証拠なしでメモリダンプのみを取得したい場合は、次のコマンドを使用します。

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults -m --no-events-search --no-evidence-search --no-registry-search

この機能はWindowsターゲットでのみ利用可能です。

カスタムコマンドの実行

GargamelはリモートマシンでカスタムのWindows CMDまたはLinuxシェルコマンドを実行できます。

最初に、次の内容のファイルcustom-commands.txtを作成します。

# Will be run using any method
ipconfig
# Will run only when launching with at least one of --all, --psexec, --wmi methods
:psexec:wmi ipconfig -all

上記のコマンドの結果は、-oオプションで指定されたディレクトリに保存されます。

custom-commands.txtに記述された上記のコマンドを実行するには、-eスイッチを使用します。

gargamel.exe -c 192.168.42.47 -u Jano --psexec -o testResults -e custom-commands.txt

カスタムファイルのダウンロード

Gargamelはリモートファイルをダウンロードできます。

最初に、次の内容のファイルcustom-files.txtを作成します。

C:\Users\Public\sss*
C:\Users\Jano\danove.pdf 
# This line and the next one will be ignored
# C:\Users\Jano\somBajecny.pptx

注：ワイルドカード * と ? はサポートされていますが、現在のところファイル名のみで、親ディレクトリではサポートされていません。つまり、C:\Users\J*\danove.pdf はおそらく機能しません。