【工具免杀】SharpWeb -Google篇

下载

https://github.com/StarfireLab/SharpWeb

  -all           Obtain all browser data  -b             Available browsers: chromium/firefox/ie  -p             Custom profile dir path or the path of Cookies  -s             Specify the path of Local State  -show          Output the results on the command line  -zip           Compress result to zip (default: false)  -format        Export to CSV (default) or JSON format  Usage:       SharpWeb.exe -all       SharpWeb.exe -all -zip       SharpWeb.exe -all -show       SharpWeb.exe -all -format json       SharpWeb.exe -b firefox       SharpWeb.exe -b chromium -p "C:UserstestAppDataLocalGoogleChromeUser DataDefault"       SharpWeb.exe -b chromium -p "C:UserstestAppDataLocalGoogleChromeUser DataDefaultNetworkCookies" -s "C:UserstestAppDataLocalGoogleChromeUser DataLocal State"

本章主要了解一下如何获取Google浏览器的历史记录，书签，保存的账号密码等，获取方式与IE浏览器还是有很多不同的地方。

Main()

我们继续追踪Main()函数，在输入chromium参数时调用Chromium_kernel()函数。

进入Chromium_kernel()函数，看到将各种浏览器默认路径循环输入进GetChromium()函数，注意这里杀软会查杀明文的路径，将其拆开重组或者进行编码。

进入GetChromium()函数发现主要函数Logins()，Bookmark()，Cookies()，Histroy()，Download()，函数功能依次是获取用户名密码，获取书签，获取Cookies，获取浏览历史，获取历史下载。

Logins()

先来说一下Logins()函数，通过调用Environment.GetEnvironmentVariable("USERPROFILE")方法获取当前用户的用户目录然后拼接上面传入的浏览器默认路径，传入Logins()函数。

然后使用 SqliteConnection 连接到SQLite数据库，进行查询检索登录信息。然后对密码进行解密，在Chromium内核中浏览器加密的密码跟cookies加密一样，都是调用DPAPI进行解密AES密钥，再用AES进行解密即可，DPAPI加密保存至%LocalAppData%GoogleChromeUser DataLocal State中，在json中"os_crypt"中的"encrypted_key"的值为加密密钥。杀软会对这DPAPI解密代码块，读取数据库代码块进行查杀。

Bookmark()

Bookmark()函数提取Chrome浏览数据书签文件中的数据，在接收到书签路径后首先拷贝一个临时文件进行操作，然后读取临时文件中的所有内容，因为书签是明文以JSON格式存储的，并将JSON字符串反序列化转换成对象，然后遍历每个条目，存储NAME与URL对应的值。

Histroy()

Histroy()函数提取Chrome浏览数据历史记录文件中的数据，并将这些数据以表格形式存储在内存中。首先创建一个临时文件，然后连接到这个SQLite格式的历史记录文件，并执行SQL查询以检索URL、标题和最后访问时间。对于查询返回的每一条记录，它都会格式化并打印这些信息，同时将它们添加到一个列表中。需要注意的是杀软会查杀这些数据库查询代码块。

Download()

Download()函数用于提取Chrome浏览器的下载历史记录，并将这些信息保存到文件中。首先创建一个临时文件来存储下载的数据库，然后初始化一些变量，包括列标题和用于存储结果的数据列表。通过SQLite连接，执行查询以检索下载记录的URL、路径和最后访问时间。对于每条记录，将格式化的字符串打印到控制台，并将数据添加到列表中。查询完成后，将数据以JSON或CSV格式写入到指定的文件中，并删除临时文件。需要注意的是杀软会查杀这些数据库查询代码块。