DumpBrowserSecrets

DumpBrowserSecrets

从基于Chromium和Gecko的现代浏览器（Chrome、Microsoft Edge、Firefox、Opera、Opera GX和Vivaldi）中提取浏览器存储的数据，例如刷新令牌、Cookie、已保存的凭据、信用卡信息、自动填充条目、浏览历史和书签。

快速链接

Maldev Academy 主页

Maldev 数据库

恶意软件开发课程大纲

攻击性钓鱼操作课程大纲

勒索软件内部原理、模拟与检测课程大纲

工作原理

本项目是 DumpChromeSecrets 的改进版本，同样包含两个组件：

1. 可执行文件（DumpBrowserSecrets.exe）

   创建一个无头（headless）Chromium进程，通过 Early Bird APC注入 注入DLL，并接收提取的解密密钥。这些密钥要么是App-Bound密钥（从Chrome、Brave和Microsoft Edge中提取），要么是DPAPI密钥（用于Opera、Opera GX和Vivaldi）。一旦获取到所需的密钥，该可执行文件将解析浏览器磁盘上的SQLite数据库和JSON文件，并解密存储的数据，包括凭据、Cookie、令牌及其他浏览数据。 此外，当针对非Chromium浏览器（例如Firefox）时，DumpBrowserSecrets.exe 会处理所有数据提取和解密所需的步骤（无需DLL注入）。

2. DLL（DllExtractChromiumSecrets.dll）

   在Chromium浏览器内部运行，通过 IElevator COM接口解密App-Bound加密密钥。它利用 IElevator COM接口解密App-Bound加密密钥，并从目标浏览器的 Local State 文件中获取 app_bound_encrypted_key 和 encrypted_key 的解密值。这些值随后返回给可执行文件，由后者执行所有提取操作。

[!NOTE] 与 DumpChromeSecrets 项目不同，本实现将所有浏览器数据提取操作放在 DumpBrowserSecrets.exe 可执行文件中完成，而DLL仅限于从基于Chromium的浏览器中获取加密密钥。

功能特点

以下是本工具提供的一些最显著的功能：

• 编译时字符串混淆和API哈希化，以规避静态分析。
• 通过 NtCreateUserProcess 实现PPID和参数欺骗，并手动注册CSRSS。
• 自定义SQLite3文件格式解析器（SQLoot），在 > v1.1.1 版本中替代 sqlite-amalgamation。
• 句柄复制，以绕过正在运行的浏览器持有的文件锁。
• 加密的输出包，用于使用用户定义的签名进行离线解密。

使用方法

Usage: DumpBrowserSecrets.exe [options]

提取选项：
  /b:<browser> 目标浏览器：Chrome, Edge, Brave, Opera, Operagx, Vivaldi, Firefox, All
               可多次指定
  /enc:<sig>   使用签名（1-8字节）加密JSON输出
  /spoof       在获取ABE密钥时启用参数和PPID欺骗
  /e:<count>   每个类别的最大提取条目数（默认：16，'all'表示无限制）

解密选项：
  /dec:<sig>   使用与加密时相同的签名进行解密（1-8字节）
  /i <file>    输入加密包文件（解密必需）
  /?           显示此帮助信息

示例：
  DumpBrowserSecrets.exe                                          从默认浏览器中提取16个条目
  DumpBrowserSecrets.exe /b:chrome /b:edge /spoof /e:100          从Chrome和Edge中提取100个条目，启用PPID欺骗
  DumpBrowserSecrets.exe /b:firefox /e:all /enc:SIG213            从Firefox中提取所有条目并打包为加密文件
  DumpBrowserSecrets.exe /b:all /e:all /enc:0xCAFEBABE            从所有浏览器中提取所有条目并打包为加密文件
  DumpBrowserSecrets.exe /dec:0xCAFEBABE /i EncPack-XXXXX.bin     将加密包文件解密为JSON文件

提取的数据

下表展示了每个受支持浏览器的精确数据位置、格式和加密模型。

Chrome（App-Bound）

Edge（App-Bound）

Brave（App-Bound）

Opera（DPAPI）

Opera GX（DPAPI）

Vivaldi（DPAPI）

Firefox（NSS）

致谢

• 来自 NtCreateUserProcess-Post 的手动CSRSS进程注册实现
• 来自 snovvcrash的gist 的Chrome IElevator COM接口研究
• 来自 Chrome-App-Bound-Encryption-Decryption 的Edge和Brave IElevator COM接口研究
• luci4 的技术指导
• <= v1.1.1 版本中使用的SQLite amalgamation来自 sqlite.org

演示

https://github.com/user-attachments/assets/4290d525-7d5f-4a65-8624-2f9fa752e186