riskydissonance/sharpcookiemonsterChrome/EdgeブラウザからすべてのクッキーをダンプするC#ツール。httpOnlyおよびsecureフラグを含み、セッションハイジャックおよびポストエクスプロイテーションによる認証情報の窃取を目的とする。execute-assemblyを介してC2フレームワークと互換性があります。
.&@#. .#@@.
*&&((&@( @/ *@
@ &( ,& &@@@@/ &/
@ &@ @@@@@@@@ @.
@. #@@/ @ @@@@@@@/ @, #@@
@ @@@@@@@@ && %%/(%%&#//(#...
/% @@@@@@@@ *#(@* ,@/(((//(/(/(((//(@.
.@(..#@, %@@# &/////#@@*. .*&@#////////////////(/&@.
(&%((///(@(. *&#(//(/////((//(/(((///(/(/(/(/(/(///////((%@
(@#//((/////((//(/(////(///////////////////////////////////@#/(/&@.
@&@@////(/(/(/(/(/(/(/(/(/(/(/(/(/(/(/(/(/(/(/(/(/((///(@%//////(#@
%@@%(////////////////////////////((//(@@@#///@@%#///((&@@@@@@#////////(#&&(
@@&(///(//(/(/(//((/(///(///(//@//&@@@@@@@@@@@@@@@@@@@@@@@@(////(/(////#@@@/
@#/(&&(////(///((@///%@(##%@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@///////////%@@@&.
@#(/(#%@@&(//#&@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@///(/(/(/(//@.
@#/(//(//(//@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@////(/////(//@.
,@&///(/(/(///%@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#(///(/(///#/&@
@&((//////////@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@%///////////%&,
#@/(/(/(/(////@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@((/(/(/(/(/((@.
&(/////////////@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@#////////////((&
.@(%@(///(/(/(////%@@@@@@@@@@@@@@@@@@@@@@@@@@@@&/(/(/(/(///(//#@%@.
.**.@/(/////////////(@@@@@@@@@@@@@@@@@@@@@@(///////////////(@/
@%((///(/(/(/(/////(/#&@@@@@@@@%((///(///(/(///((/(@/@&.
,&@@(//////////////(////(((//((//(((////////////@(.
,@@(/////////////(/(/(/(/(/(/(/(///((&%%@%,
.%@@(@@@#&@&(/////////////////////&@*
,*, ,@@@@@@@@&&&&@@%/, ..
SharpCookieMonster v1.0 by @m0rv4i
これは @defaultnamehere の cookie-crimes モジュールを Sharp に移植したものです。彼の素晴らしい仕事に最大の賛辞を送ります！
この C# プロジェクトは、httpOnly/secure/session フラグが設定されているサイトも含め、すべてのサイトのクッキーをダンプします。
バイナリを実行するだけで簡単に使用できます。
SharpCookieMonster.exe [url] [edge|chrome] [debugging-port] [user-data-dir]
オプションの第1引数は、Chrome 起動時に最初に接続するサイトを指定します（デフォルトは https://www.google.com）。
オプションの第2引数で、Chrome と MS Edge のどちらをチェックするかを指定します（デフォルトは Chrome）。
オプションの第3引数で、Chrome デバッガを起動するポートを指定します（デフォルトは 9142）。
最後に、オプションの第4引数でユーザーデータディレクトリのパスを指定します。これにより、異なるプロファイルなどにアクセスするためにオーバーライドできます（デフォルトは %APPDATALOCAL%\Google\Chrome\User Data）。
このバイナリは .NET 3.5 に対応してビルドされており、.NET の古いバージョンがインストールされたターゲットでも動作するようになっています。ただし、Chrome との通信に WebSocket を使用するため、WebSocket4Net パッケージが追加されています。
もし PoshC2 の sharpcookiemonster コマンドや CobaltStrike の execute-assembly を使用して C2 経由で実行したい場合は、ILMerge を使用してビルド済みの実行ファイルと WebSocket4Net.dll ライブラリをマージしてください。
まず元のバイナリをリネームし、次のコマンドを実行します。
ILMerge.exe /targetplatform:"v2,C:\Windows\Microsoft.NET\Framework\v2.0.50727" /out:SharpCookieMonster.exe SharpCookieMonsterOriginal.exe WebSocket4Net.dll