windows下的特殊信息搜集

0x01 路径

以下用户均用 administrator 代替，对于不同的 Windows 用户，名字不一，所以通常在不同的 users 目录下。

1. 安装软件相关：

数据文件路径：

C:\Users\administrator\AppData\Roaming

该路径多存放着系统上程序的数据文件，可从此处收集，如浏览器历史记录，cookie，用户信息等数据文件。

2.QQ 相关：

QQ 号目录：

C:\Users\administrator\Documents\Tencent Files

QQ 图片缓存路径：

C:\Users\administrator\Documents\Tencent Files\XXX\Image\C2C

XXXQQ 号下载到本地的存储目录：

C:\Users\administrator\Documents\Tencent Files\XXX\FileRecv

聊天记录存储文件：

C:\Users\administrator\Documents\Tencent Files\XXX\Msg.db
C:\Users\administrator\Documents\Tencent Files\XXX\Msg2.0.db
# 某种加密过的db文件
C:\Users\administrator\Documents\Tencent Files\XXX\Msg3.0.db

3.SogouExplorer 相关：

历史记录文件：

C:\Users\administrator\AppData\Roaming\SogouExplorer\HistoryUrl3.db
C:\Users\administrator\AppData\Roaming\SogouExplorer\uarchhistory3.db
C:\Users\administrator\AppData\Roaming\SogouExplorer\uhistory3.db

扩展插件记录文件：

C:\Users\administrator\AppData\Roaming\SogouExplorer\Extension4.db

收藏记录文件：

C:\Users\administrator\AppData\Roaming\SogouExplorer\favorite3.dat

4.Google Chrome 相关：

历史记录及下载记录等：

C:\Users\administrator\AppData\Local\Google\Chrome\User Data\Default\History
# 需要加文件后缀.db

用户登录凭证：

C:\Users\administrator\AppData\Local\Google\Chrome\User Data\Default\Login Data
# 需要加文件后缀.db
# password_value以某种形式加密，待研究