红队笔记之Chrome用户数据收集

 在域渗透的测试过程中，当我们获取特定用户的计算机权限后，为了对目标的行为进行进一步的分析，可以选择分析其上网行为，以期发现我们感兴趣的数据，分析步骤大致为；

步骤一：分析并获取目标网站

从用户访问过或常访问的，或赶兴趣的内容，从中找出目标网站，即书签分析，浏览记录分析，搜索记录分析。

步骤二：获取网站登录凭证

一般可以先尝试破解用户保存的密码，或cookie信息，从而登录目标网站。

下文以Chrome为例介绍具体的方法,国内uc，360，搜狗，猎豹，世纪之窗，遨游，百度等浏览器均采用Chromium内核，均可参考此方法。

下文分析工具为：

1、SQLiteStudio
2、mimikatz

分析获取目标网站

通过分析用户的书签、访问记录，搜索记录，可以确定用户常访问的网站，从而找到可能存在关键数据的网站系统。

获取书签信息

Chrome浏览器的用书签的存储格式为json格式其存储位置为；

C:\Users\%对用用户%\AppData\Local\Google\Chrome\User Data\Default\Bookmarks

实际效果如下图：

获取访问记录

Chrome浏览器的用户访问记录为SQLiteDB文件，其存储位置为；

C:\Users\%对用用户%\AppData\Local\Google\Chrome\User Data\Default\History

使用SQLiteStudio打开实际效果如下图：

搜索记录分析

Chrome浏览器的用户访问记录为SQLiteDB文件，其存储位置为(与访问记录同在History中)；

C:\Users\%对用用户%\AppData\Local\Google\Chrome\User Data\Default\History

使用SQLiteStudio打开实际效果如下图：

获取网站登录凭证

获取网站密码

Chrome浏览器的用户密码（如用户点击记住密码会被记录）记录为SQLiteDB文件，其存储位置为；

C:\Users\%对用用户%\AppData\Local\Google\Chrome\User Data\Default\Login Data

可以使用mimikatz对其进行解密，管理员身份打开mimikatz输入以下指令即可

dpapi::chrome /in:"C:\Users\%对用用户%\AppData\Local\Google\Chrome\User Data\Default\Login Data" /unprotect

获取网站Cookie

当我们无法从分析出用户和密码，或者是不方便登录用户和密码时可以尝试获取网站的Cookie来访问网站资源

因为Http属于无状态协议，而服务端又在处理每个客户端发送来的请求时都需要验证以下客户端的身份，cookie就是为了验证客户端身份的一个身份凭证，客户端每次给服务端发送请求时带上这个凭证，来证明自己的身份。

Chrome浏览器的Cookies记录为SQLiteDB文件，其存储位置为；

C:\Users\%对用用户%\AppData\Local\Google\Chrome\User Data\Default\Cookies

可以使用mimikatz对其进行解密，管理员身份打开mimikatz输入以下指令即可

dpapi::chrome /in:"C:\Users\%对用用户%\AppData\Local\Google\Chrome\User Data\Default\Cookies" /unprotect

为了您和您家人的幸福，请不要利用文中技术在用户未授权情况下开展渗透测试！！！

《中华人民共和国刑法》

第二百八十五条
违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。
第二百八十六条
违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。

违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。
故意制作、传播计算机病毒等破坏程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚