DumpChromeSecrets

[!IMPORTANT] 此项目不再维护。请改用 DumpBrowserSecrets，它支持 Chrome、Edge、Brave、Firefox、Opera、Opera GX 和 Vivaldi。

DumpChromeSecrets

从现代 Chrome 版本中提取数据，包括刷新令牌、Cookie、已保存的凭据、自动填充数据、浏览历史记录和书签。

快速链接

Maldev Academy 主页

Maldev 数据库

恶意软件开发课程大纲

攻击性钓鱼操作课程大纲

勒索软件内部原理、模拟与检测课程大纲

工作原理

本项目包含两个组件：

1. 可执行文件（DumpChromeSecrets.exe） - 通过 Early Bird APC 注入 创建无头 Chrome 进程，注入 DLL，并通过命名管道接收提取的数据。

2. DLL（DllExtractChromeSecrets.dll） - 在 Chrome 进程上下文中运行，使用 Chrome 的 IElevator COM 接口解密 App-Bound 加密密钥，然后从 SQLite 数据库中提取并解密数据。

Chrome 的 App-Bound 加密（v127+）

从 Chrome 127 开始，Google 引入了 App-Bound 加密，将 Cookie 加密密钥与 Chrome 应用程序身份绑定。加密密钥（命名为 "app_bound_encrypted_key"）存储在 "Local State" 文件中，可以通过 Chrome 的 elevation 服务通过 IElevator COM 接口解密。

本项目通过在 Chrome 进程中注入代码来绕过此保护，使其能够在正确的应用程序上下文中调用 IElevator::DecryptData。另一种方法由 luci4 在 Dumping Browser Cookies: Chrome 和 Dumping Saved Logins: Chrome 模块中实现。

以上图片取自：提升 Chrome 在 Windows 上 Cookie 的安全性

数据提取

DLL 注入后，从 Chrome 中提取以下数据：

用法

Usage: DumpChromeSecrets.exe [options]

Options:
  /o <file>    Output JSON File (default: ChromeData.json)
  /all         Export All Entries (default: max 16 per category)
  /?           Show This Help Message

Examples:
  DumpChromeSecrets.exe                        Extract 16 Entry To ChromeData.json
  DumpChromeSecrets.exe /all                   Export All Entries
  DumpChromeSecrets.exe /o Output.json /all    Extract All To Output.json

致谢

• 来自 snovvcrash 的 gist 的 IElevator COM 接口研究
• luci4 的技术指导
• 来自 sqlite.org 的 SQLite 合并代码

演示