跳转至

魔改HackBrowserData

moonD4rk/HackBrowserData: Extract and decrypt browser data, supporting multiple data types, runnable on various operating systems (macOS, Windows, Linux).

该工具是提取浏览器存储的密码、cookies、浏览历史记录等的hack工具，支持的浏览器和平台如下：

Supported Browser

Windows

Browser Password Cookie Bookmark History
Google Chrome ✅ ✅ ✅ ✅
Google Chrome Beta ✅ ✅ ✅ ✅
Chromium ✅ ✅ ✅ ✅
Microsoft Edge ✅ ✅ ✅ ✅
360 Speed ✅ ✅ ✅ ✅
QQ ✅ ✅ ✅ ✅
Brave ✅ ✅ ✅ ✅
Opera ✅ ✅ ✅ ✅
OperaGX ✅ ✅ ✅ ✅
Vivaldi ✅ ✅ ✅ ✅
Yandex ✅ ✅ ✅ ✅
CocCoc ✅ ✅ ✅ ✅
Firefox ✅ ✅ ✅ ✅
Firefox Beta ✅ ✅ ✅ ✅
Firefox Dev ✅ ✅ ✅ ✅
Firefox ESR ✅ ✅ ✅ ✅
Firefox Nightly ✅ ✅ ✅ ✅
Internet Explorer ❌ ❌ ❌ ❌

MacOS

Based on Apple's security policy, some browsers require a current user password to decrypt.

Browser Password Cookie Bookmark History
Google Chrome ✅ ✅ ✅ ✅
Google Chrome Beta ✅ ✅ ✅ ✅
Chromium ✅ ✅ ✅ ✅
Microsoft Edge ✅ ✅ ✅ ✅
Brave ✅ ✅ ✅ ✅
Opera ✅ ✅ ✅ ✅
OperaGX ✅ ✅ ✅ ✅
Vivaldi ✅ ✅ ✅ ✅
CocCoc ✅ ✅ ✅ ✅
Yandex ✅ ✅ ✅ ✅
Arc ✅ ✅ ✅ ✅
Firefox ✅ ✅ ✅ ✅
Firefox Beta ✅ ✅ ✅ ✅
Firefox Dev ✅ ✅ ✅ ✅
Firefox ESR ✅ ✅ ✅ ✅
Firefox Nightly ✅ ✅ ✅ ✅
Safari ❌ ❌ ❌ ❌

Linux

Browser Password Cookie Bookmark History
Google Chrome ✅ ✅ ✅ ✅
Google Chrome Beta ✅ ✅ ✅ ✅
Chromium ✅ ✅ ✅ ✅
Microsoft Edge Dev ✅ ✅ ✅ ✅
Brave ✅ ✅ ✅ ✅
Opera ✅ ✅ ✅ ✅
Vivaldi ✅ ✅ ✅ ✅
Firefox ✅ ✅ ✅ ✅
Firefox Beta ✅ ✅ ✅ ✅
Firefox Dev ✅ ✅ ✅ ✅
Firefox ESR ✅ ✅ ✅ ✅
Firefox Nightly ✅ ✅ ✅ ✅

如何免杀

该工具在使用时会被杀软等安全防护识别到，从而拦截，我们应如何免杀？

首先该工具的行为特征为：

  1. 读取浏览器存储的用户数据(历史记录、密码、Cookies)
  2. 读取json文件，调用dpapi解密出AES密钥
  3. 使用密钥对Cookies、密码等进行解密，得到明文

行为上免杀

读文件嘛很正常,百分比不会报毒,读的文件有俩类,一种书签历史类,一种密码cookie类,前后者的区别是是否加密,所以前者可以从目标机器打包回我们机器还原,操作一点也不敏感,不会报毒

密码cookie类文件需要api获得的key解密,这一步也可以在我们机器上用目标机器的key来解密

总结一下过程:压缩目标机器上面浏览器相关user data打包到我们机器,然后在目标机器用dpapi获取到key,把key保存下来也打包到我们的机器.现在在我们机器上面现在有了

  • 目标机器的浏览器数据

  • 目标机器上对应客户的key

接着在我们本地(我们的攻击机)调用CryptUnprotectData,用B去解密A

如果把整个过程分成如上俩步分开执行,那么我们改后的工具就不再存在被查杀的特征,就达到了行为层面的免杀

Text Only
在目标机器上的操作
    第一步    打包压缩所有数据文件
        不敏感
    第二步    调用dpapi获取并保存key
        不敏感
加起来依然不敏感,免杀

在本地(攻击机)上的操作
    第一步    获取到目标机器的数据文件和key
        远程下载
    第二步   在本地调用dpapi的CryptUnprotectData(解密函数),传入目标机器的key进行解密还原
        得到目标机器上保存的cookie和网站登录信息