[!مهم] لم يعد هذا المشروع قيد الصيانة. يُرجى استخدام DumpBrowserSecrets بدلاً من ذلك، وهو يدعم Chrome وEdge وBrave وFirefox وOpera وOpera GX وVivaldi.

DumpChromeSecrets

استخراج البيانات من إصدارات Chrome الحديثة، بما في ذلك رموز التحديث (refresh tokens) وملفات تعريف الارتباط (cookies) وبيانات تسجيل الدخول المحفوظة وبيانات الملء التلقائي وسجل التصفح والإشارات المرجعية.

روابط سريعة

الصفحة الرئيسية لأكاديمية Maldev

قاعدة بيانات Maldev

منهج دورة تطوير البرامج الضارة

منهج دورة عمليات التصيد الهجومي

منهج دورة أساسيات برامج الفدية والمحاكاة والكشف

كيف يعمل

يتكون هذا المشروع من مكونين:

الملف التنفيذي (DumpChromeSecrets.exe) - ينشئ عملية Chrome بدون واجهة رسومية، ويحقن الـ DLL عبر حقن APC المبكر (Early Bird APC injection)، ويستقبل البيانات المستخرجة عبر أنبوب مسمى (named pipe).
الـ DLL (DllExtractChromeSecrets.dll) - يعمل داخل سياق عملية Chrome لفك تشفير مفتاح التشفير المرتبط بالتطبيق (App-Bound encryption key) باستخدام واجهة COM IElevator الخاصة بـ Chrome، ثم يستخرج ويفك تشفير البيانات من قواعد بيانات SQLite.

التشفير المرتبط بالتطبيق في Chrome (v127+)

بدءًا من Chrome 127، قدمت Google التشفير المرتبط بالتطبيق (App-Bound Encryption)، الذي يربط مفاتيح تشفير ملفات تعريف الارتباط بهوية تطبيق Chrome. يُخزَّن مفتاح التشفير (المسمى "app_bound_encrypted_key") في ملف "Local State"، ويمكن فك تشفيره بواسطة خدمة رفع الامتيازات في Chrome عبر واجهة COM IElevator.

يتجاوز هذا المشروع هذه الحماية عن طريق حقن الكود في عملية Chrome، مما يسمح له باستدعاء IElevator::DecryptData بسياق التطبيق الصحيح. تم تطبيق طريقة أخرى بواسطة luci4 في وحدتي تفريغ ملفات تعريف الارتباط للمتصفح: Chrome وتفريغ بيانات تسجيل الدخول المحفوظة: Chrome.

الصورة أعلاه مأخوذة من: تحسين أمان ملفات تعريف الارتباط في Chrome على Windows

استخراج البيانات

بمجرد حقن الـ DLL، يستخرج البيانات التالية من Chrome:

الاستخدام

Usage: DumpChromeSecrets.exe [options]

Options:
  /o <file>    Output JSON File (default: ChromeData.json)
  /all         Export All Entries (default: max 16 per category)
  /?           Show This Help Message

Examples:
  DumpChromeSecrets.exe                        Extract 16 Entry To ChromeData.json
  DumpChromeSecrets.exe /all                   Export All Entries
  DumpChromeSecrets.exe /o Output.json /all    Extract All To Output.json

الإسناد

بحث واجهة COM IElevator من gist لـ snovvcrash
luci4 للإرشادات الفنية
دمج SQLite من sqlite.org

عرض توضيحي

مفتاح مرتبط بالتطبيق	`User Data\Local State`	JSON	DPAPI + IElevator
ملفات تعريف الارتباط	`User Data\Default\Network\Cookies`	SQLite	AES-256-GCM (v20)
بيانات تسجيل الدخول	`User Data\Default\Login Data`	SQLite	AES-256-GCM (v20)
الرموز	`User Data\Default\Web Data`	SQLite	AES-256-GCM (v20)
الملء التلقائي	`User Data\Default\Web Data`	SQLite	لا شيء
سجل التصفح	`User Data\Default\History`	SQLite	لا شيء
الإشارات المرجعية	`User Data\Default\Bookmarks`	JSON	لا شيء

الأكثر شعبية

DumpChromeSecrets