探索网络秘密：CookieKatz——Chrome和Edge的Cookie提取工具

探索网络秘密：CookieKatz——Chrome和Edge的Cookie提取工具

ChromeKatzDump cookies directly from Chrome process memory项目地址:https://gitcode.com/gh_mirrors/ch/ChromeKatz

在网络安全与信息收集的领域中，CookieKatz是一款非常独特的开源工具，它能直接从Chrome、Edge或Msedgewebview2的进程内存中提取饼干数据（Cookies）。这个项目由三个子项目组成，包括CookieKatz主程序、Beacon Object File版本的CookieKatz-BOF以及用于解析minidump文件的CookieKatzMinidump。

项目介绍

CookieKatz的目标是绕过传统的从磁盘数据库获取Cookie的方式，转而直接读取浏览器运行时的内存，这样可以实现以下功能：

• 支持从Chrome的无痕模式和Edge的隐私浏览模式中提取Cookie。
• 当以管理员权限运行时，可以访问其他用户的浏览器Cookie。
• 可以从WebView进程中提取Cookie。
• 不涉及磁盘数据库文件，无需DPAPI密钥进行解密。
• 可离线从minidump文件解析Cookie。

尽管目前的方法在多个不同版本上稳定工作，但未来可能会因为Chromium内核的变化而失效。需要注意的是，不支持32位浏览器安装及其对应的构建。

技术分析

CookieKatz采用了动态查找内存中的Cookie位置策略，通过处理目标进程的内存来提取数据。这一方法的优势在于能够直接操作内存，避免了对磁盘数据库的接触，提高了效率。同时，通过编写Beacon Object File (BOF)，该工具也能集成到Cobalt Strike等渗透测试框架中，使得远程操作变得更加便捷。

应用场景

CookieKatz适用于各种情况，如：

• 安全研究人员在进行Web应用安全评估时，可以利用此工具快速获取登录状态，模拟用户行为。
• 网络防御者在调查安全事件时，可以从内存中获取可能被恶意利用的Cookie信息。
• 教育领域，用于教学如何分析和理解浏览器的内存结构。

项目特点

• 灵活性：CookieKatz可以根据需要选择目标进程，包括正常模式、隐私模式和WebView进程。
• 效率：直接从内存中获取数据，无需等待数据库读取，速度更快。
• 安全：不依赖于DPAPI解密，减少了潜在的安全风险。
• 可扩展性：提供了用于解析minidump文件的独立工具，方便离线分析。
• 社区支持：背后的开发团队活跃，并有贡献者不断修复问题和完善项目。

为了使用CookieKatz，你可以下载最新版本的预编译BOF或自行编译源代码。同时，附带的CNA脚本使得在Cobalt Strike中使用BOF版本更加简便。

总的来说，CookieKatz是一个强大且实用的工具，对于需要深入研究浏览器行为的开发者、安全专家或是研究者来说，无疑是一个值得尝试的优秀工具。

ChromeKatzDump cookies directly from Chrome process memory项目地址:https://gitcode.com/gh_mirrors/ch/ChromeKatz