rxwx/chloniumКлонирование и импорт файлов cookies и паролей Chromium между браузерами с офлайн-дешифрованием ключей состояния DPAPI, поддержка баз данных, зашифрованных с помощью AES-256 GCM, для операций red team.
Chlonium — это приложение, предназначенное для клонирования файлов cookie Chromium.
Начиная с Chromium 80 и выше, cookie шифруются с использованием AES-256 GCM, при этом ключ состояния хранится в файле Local State. Этот ключ состояния шифруется с помощью DPAPI. Это изменение по сравнению со старыми версиями, в которых DPAPI использовался для шифрования каждого отдельного элемента cookie в базе данных cookie. Это означает, что если у вас есть ключ состояния, вы всегда сможете расшифровать базу данных cookie в автономном режиме, без необходимости постоянного доступа к ключам DPAPI.
По сути, это делает базы данных cookie «переносимыми», то есть их можно перемещать с машины на машину, если вы извлекли ключ состояния. Сами cookie необходимо повторно зашифровать при импорте, поскольку ключи состояния различаются для каждого профиля пользователя и машины. Это можно сделать с помощью того же процесса, что и расшифровка: сначала расшифровать ключ состояния из «целевого» браузера, а затем повторно зашифровать каждый элемент новым ключом.
Проект написан на C# и состоит из двух отдельных компонентов. Первый компонент, chlonium.exe, — это бинарный файл сборщика. Он просто расшифровывает ключ состояния и выводит его. Запомните этот ключ, и в будущем вы сможете расшифровывать cookie, загружая файл базы данных Cookies всякий раз, когда вам понадобятся обновленные cookie. По умолчанию он пытается расшифровать ключ состояния Chrome. Если вы хотите извлечь ключ состояния для другого браузера (например, Edge), вы можете указать путь к ключу.
Например:
> Chlonium.exe "c:\users\user\AppData\Local\Microsoft\Edge\User Data\Local State"
[+] Statekey = 3Cms3YxFXVyJRUbulYCnxqY2dO/jubDkYBQBoYIvqfc=
Второй компонент, ChloniumUI.exe, — это инструмент «импортера». Он отвечает за расшифровку заданной базы данных Cookies с заданным ключом состояния, повторное шифрование значений с помощью ключа состояния текущего пользователя и импорт cookie в выбранный вами браузер. Вы запускаете его на той машине, в которую хотите импортировать cookie.
Чтобы использовать его, запустите исполняемый файл ChloniumUI.exe. Введите ранее извлеченный ключ состояния, выберите файл Cookies, который хотите импортировать, и выберите браузер, в который хотите импортировать cookie. Затем нажмите «Import Cookies», и cookie будут импортированы.
ChloniumUI в настоящее время поддерживает три браузера на основе Chromium: Edge, Chrome и Vivaldi. Дополнительные браузеры можно добавить в Browsers.cs. Это дает дополнительное преимущество: можно импортировать файл cookie Edge в Chrome или наоборот (например), хотя это, вероятно, не очень хорошая идея, учитывая несоответствие user-agent.
Важное примечание: При импорте файла cookie в ваш браузер все старые cookie удаляются! Резервная копия копируется в текущий каталог (с соответствующей временной меткой). Если вам нужно восстановить предыдущие cookie, просто скопируйте файл резервной копии поверх файла Cookies.
Такие инструменты, как Mimikatz и SharpChromium, уже имеют возможность сбрасывать cookie Chrome 80. Зачем нужен еще один инструмент?
Этот инструмент специально нацелен на упрощение импорта cookie в другой браузер. Хотя эти инструменты отлично справляются со сбросом cookie Chromium (и не только!), я хотел иметь что-то, что позволило бы мне легко импортировать их в другой браузер. Существуют сторонние плагины-менеджеры cookie, но я всегда находил их неудобными и склонными к сбоям. CloniumUI разработан, чтобы упростить этот процесс за счет прямого импорта cookie в базу данных SQLite вашего браузера.
Хотя этот проект поставляется с коллектором chlonium.exe, который помогает извлекать ключ состояния, это всего лишь пример. Другие инструменты, такие как Mimikatz, также могут извлечь для вас ключ состояния, возможно, более скрытным способом (в зависимости от вашей операционной среды, метода выполнения и т. д.). Кроме того, SharpDPAPI позволит вам расшифровать файл ключа состояния Chromium, если у вас есть ключи состояния DPAPI, текущий пароль или резервный ключ домена, что позволяет сбрасывать cookie удаленно по SMB!
При проведении Red Teaming иногда требуется сбрасывать cookie пользователя несколько раз в течение длительного периода (например, ежедневно/еженедельно). Использование .NET сборки, отражающей DLL или другого метода выполнения в памяти для извлечения отдельных cookie из файла cookie непосредственно на целевой системе не требуется и подвергает оператора повышенному риску обнаружения. Вместо этого вы можете просто один раз сбросить ключ состояния и копировать файл базы данных Cookies всякий раз, когда вам нужны свежие cookie, без необходимости дополнительного выполнения.
Смотрите здесь видео-демонстрацию.
ChloniumUI также поддерживает импорт и экспорт паролей. Чтобы использовать эту функцию, просто укажите путь к базе данных Login Data вместо БД Cookies, а также ключ состояния, и выберите браузер, в который вы хотите их импортировать (для экспорта это не имеет значения). Это позволяет вам либо экспортировать пароли в виде обычного текста в файл, либо импортировать их в ваш браузер. Как и в случае с cookie, вы можете импортировать пароли Chrome в Edge, пароли Edge в Vivaldi и т. д.
Chlonium поддерживает автономную расшифровку ключа состояния, при которой вы можете расшифровать ключ состояния пользователя в автономном режиме, если у вас есть все следующие файлы:
C:\Users\<user>\AppData\Local\<browser>\User Data\Local StateC:\Users\<user>\AppData\Roaming\Microsoft\Protect\<SID>\и одно из следующего:
LsaRetrievePrivateData)Теперь просто укажите эти значения на вкладке «Offline statekey decryption», и Chlonium попытается расшифровать зашифрованный ключ состояния, сначала расшифровав мастер-ключи DPAPI (с помощью резервного ключа или пароля), а затем используя эти ключи для расшифровки ключа состояния. После того как ключ состояния расшифрован, его можно использовать на вкладке «Import or Export Database» для извлечения cookie/паролей.
Примечание по использованию: При использовании пароля пользователя для расшифровки мастер-ключа DPAPI, Chlonium сначала попытается извлечь SID пользователя из файла BK-<NETBIOSDOMAINNAME> в папке мастер-ключей DPAPI. Если это не удается (или если файл не существует), он попытается получить SID из имени папки мастер-ключей DPAPI (которая по умолчанию будет названа по SID пользователя). Если вы переименовали папку или у вас нет копии файла BK, вы не сможете расшифровать мастер-ключ с помощью пароля.
Эта функция использует отличные проекты SharpChrome и SharpDPAPI от @harmj0y. Полная заслуга принадлежит оригинальным авторам SharpDPAPI.
При импорте базы данных Cookie или Login, Chlonium предоставляет возможность выбрать «Importer». Вы можете выбрать либо Database Importer (по умолчанию), либо StateKey Importer. Импортер базы данных по умолчанию расшифровывает каждый элемент в исходной базе данных, повторно шифрует его с вашим текущим ключом состояния, а затем импортирует в базу данных вашего текущего браузера. Обычно это работает нормально, однако, если обновление браузера приводит к изменению схемы базы данных, то Chlonium может потребоваться обновление для работы с новой схемой. Чтобы попытаться обойти эту проблему, был создан StateKey Importer. Вместо повторного шифрования каждого элемента в базе данных (и зависимости от знания схемы БД), мы можем просто повторно зашифровать (с помощью DPAPI) ключ состояния, хранящийся в файле Local State, чтобы он соответствовал исходной базе данных. После этого мы можем просто заменить файл БД Cookie, не возясь с содержимым базы данных через SQL. Хотя этот метод должен быть более устойчивым к изменениям схемы, он имеет побочный эффект: вы не сможете использовать старый файл cookie, так как ключ состояния больше не будет действителен. Чтобы избежать проблем с восстановлением, файл Local State резервируется в текущем каталоге вместе с оригинальной базой данных Cookie/Login. При необходимости их можно восстановить вручную. Кроме того, поскольку нам не нужно повторно шифровать каждый элемент базы данных, StateKey Importer работает намного быстрее!
Краткое резюме: Если у вас возникли проблемы с Database Importer, попробуйте выбрать StateKey Importer :)
Установите SACL на файлы Chrome Local State и Cookies (а также на другие конфиденциальные файлы, такие как Login Data и History). Обращайте внимание на подозрительные процессы (например, не связанные с браузером), открывающие любой из этих файлов.
Ознакомьтесь с этой отличной статьей в блоге от @cryps1s о настройке SACL для обнаружения.
Для поставщиков AV, использующих драйвер фильтра файловой системы, рассмотрите возможность блокировки процессов, не связанных с браузером, при открытии этих файлов. Например, PowerShell, открывающий файл Cookies.