"राज" DPAPI। गधे को देखो

डीपीएपीआई को डीकोडिंग पर हमारे आखिरी लेख के अलावा, हम दो और मामलों के बारे में बात करेंगे, जिनका हमें सामना करना पड़ा था। यह MS IE11 और एज ब्राउज़र में सहेजे गए पासवर्ड के बारे में होगा।

रणनीति एक ही रहती है - हम सब कुछ ऑफ़लाइन डिक्रिप्ट करेंगे। ऐसा करने के लिए, आपको आवश्यक फ़ाइलों को चुनना होगा।

ऑपरेटिंग सिस्टम (विंडोज 7 या उच्चतर) के आधार पर, सहेजे गए पासवर्ड को दो स्थानों पर देखा जाना चाहिए:

विंडोज 7 के मामले में, यह एक रजिस्ट्री शाखा है

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\IntelliForms\Storage2 

विंडोज 8 और इसके बाद के संस्करण के लिए, विंडोज वॉल्ट भंडारण।

यह भी ध्यान दिया जाना चाहिए कि विंडोज 7 पर, HTTP बेसिक प्राधिकरण पासवर्ड भी विंडोज वॉल्ट में संग्रहीत किए जाते हैं, इसलिए इसे लेने से किसी भी मामले में चोट नहीं लगती है।

खैर, अच्छी पुरानी परंपरा के अनुसार - यह सब, निश्चित रूप से, डीपीएपीआई तंत्र के माध्यम से एन्क्रिप्ट किया गया है।

अब डिक्रिप्शन एल्गोरिथ्म पर अधिक विस्तार से विचार करें।

विंडोज 7 + IE11 (एज)

जैसा कि ऊपर उल्लेख किया गया है, पासवर्ड वर्तमान उपयोगकर्ता की रजिस्ट्री में संग्रहीत हैं और DPAPI ब्लॉब्स को उपयोगकर्ता की मास्टर कुंजी के साथ एन्क्रिप्ट किया गया है।

लेकिन एक महत्वपूर्ण अंतर है - पासवर्ड एन्क्रिप्ट करते समय एन्ट्रापी का उपयोग किया जाता है। एन्ट्रॉपी वह URL है जिस पर एक पासवर्ड फॉर्मेट में दर्ज किया जाता है ("https://url"+"\x00").lower().encode("utf-16-le") ।

पासवर्ड डिक्रिप्ट करने के लिए, आपको पूरा URL जानना होगा! नहीं तो कुछ नहीं।

लेकिन इसलिए कि IE स्वयं जानता है कि पासवर्ड को डिक्रिप्ट कैसे किया जाता है, यह URL हैशेड है और रजिस्ट्री में DPAPI-बूँद के साथ मुख्य नाम के रूप में संग्रहीत है।

एक छोटे से उदाहरण पर विचार करें। साइट https://rdot.org/forum/ सहेजा गया पासवर्ड इस तरह दिखाई देगा:

 A88E21329B5372B856CE238B79D1F28D8EA1FD359D REG_BINARY 01000000D08C9DDF0115D1118C7A00C......BC310C51EE0F9B05D 

जहाँ
A88 ... एक हैशेड URL https://rdot.org/forum/
01000000D08C ... - DPAPI ब्लॉब जिसमें यूजरनेम और पासवर्ड होता है

URL हैशिंग एल्गोरिथ्म सीधा है। उसके बारे में अधिक जानकारी वॉल्ट 7 के सीआईए-आधारित विकास में पाई जा सकती है ।

अजगर में, यह इस तरह दिखता है:

 import hashlib url = "https://rdot.org/Forum/".lower() + "\x00" url_utf_16_le = url.encode("utf-16-le") sha1obj = hashlib.sha1(url_utf_16_le) urldigest = sha1obj.digest() checksum = 0 len(urldigest) for abyte in urldigest: checksum = (checksum + (ord(abyte))) & 0xFF hash = sha1obj.hexdigest().upper() cksum = "%02X" % checksum reg_value_name = "%s%s" % (hash, cksum) print reg_value_name 

दर्ज किए गए अंतिम 50 URL की एक सूची भी रजिस्ट्री में पाई जा सकती है:

  HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\typedurls 

आइए उदाहरण पर वापस जाएं। मान लीजिए हमें रजिस्ट्री में https://rdot.org/forum/ से सहेजे गए पासवर्ड को खोजने की आवश्यकता है।

रूपांतरण स्क्रिप्ट में URL मान को प्रतिस्थापित करना - हमें मूल्य मिलता है

 A88E21329B5372B856CE238B79D1F28D8EA1FD359D 

इस नाम की कुंजी हमें रजिस्ट्री में ढूंढनी होगी

 req query "HKEY_USERS\<SID>\Software\Microsoft\Internet Explorer\IntelliForms\Storage2" 

यदि ऐसी कुंजी पाई जाती है, तो इसे फ़ाइल को हेक्स-मान के रूप में कॉपी किया जाना चाहिए (यानी, कुंजी के मान को हेक्स ब्लॉब के रूप में व्याख्या करना) और एन्ट्रापी का उपयोग करके डीपीएपीआई-ब्लॉब के रूप में डिक्रिप्ट किया गया: ("https://rdot.org/forum/".lower() + "\x00").encode("utf-16-le")
: ("https://rdot.org/forum/".lower() + "\x00").encode("utf-16-le")
("https://rdot.org/forum/".lower() + "\x00").encode("utf-16-le")


डिक्रिप्शन के लिए, आप dpapick का उपयोग कर सकते हैं, डिक्रिप्शन में एंट्रॉपी को ध्यान में रखते हुए उचित परिवर्तन कर सकते हैं।

उदाहरण / filegeneric.py फ़ाइल में, फ़ंक्शन कॉल करता है

  probe.try_decrypt_with_password(options.password, mkp, options.sid) 

के साथ बदलें

 probe.try_decrypt_with_password(options.password, mkp, options.sid, entropy=("https://rdot.org/forum/".lower() + "\x00").encode("utf-16-le")) 

और उसके बाद हमेशा की तरह dpapick पर कॉल करें:

  ./filegeneric.py --sid <SID> --masterkey <mk dir> --password <..> --inputfile <dpapi blob from registry> 

यदि मास्टर कुंजी को सही ढंग से डिक्रिप्ट किया गया है, तो आउटपुट को सहेजे गए उपयोगकर्ता नाम और पासवर्ड (एक निश्चित मात्रा में सेवा बाइनरी डेटा के बाद) प्राप्त होगा।

विंडोज 8.1 और उच्चतर

Win8 और उच्चतर पर पासवर्ड सहेजने के मामले में, http रूपों और साथ ही http मूल प्राधिकरण से पासवर्ड, विंडोज वॉल्ट में संग्रहीत किए जाते हैं। और क्या अच्छा है - पासवर्ड के साथ, जिस साइट पर वह पहुंचता है उसका पूरा URL भी सहेजा जाता है।

वॉल्ट को दो चरणों में एन्क्रिप्ट किया गया है - पहला, पूरे डेटा ब्लॉक को एईएस द्वारा एन्क्रिप्ट किया गया है, और डिक्रिप्शन के लिए सममित कुंजी को डीपीएपीआई द्वारा एन्क्रिप्ट किया गया है और एक फाइल में सहेजा गया है। पूरा एन्क्रिप्शन-डिक्रिप्शन एल्गोरिथ्म ज़ेना फोरेंसिक के लोगों द्वारा लेख में वर्णित है।

उन्होंने dpapick (dpapilab) के आधार पर विंडोज वॉल्ट के लिए विशेष डिक्रिप्टर्स भी विकसित किए। आप उन्हें ZF git पर ले सकते हैं या हमारे github से एक कांटा डाउनलोड कर सकते हैं।

तिजोरी भंडारण उपयोगकर्ता प्रोफ़ाइल में स्थित है:

 C:\Users\<user>\AppData\Local\Microsoft\Vault\<GUID>\ 

.Vpol फ़ाइल के अंदर एक DPAPI बूँद होती है जो एक उपयोगकर्ता कुंजी के साथ एन्क्रिप्ट की जाती है और डिक्रिप्टिंग .vcrd के लिए AES- कुंजी संग्रहीत करती है।

वॉल्ट को डिक्रिप्ट करने के लिए, आपको चलना होगा:

 ./vaultdec.py --masterkey <mk dir> --sid <SID> --password <pass> <VAULT DIR> 

एक पासवर्ड के बजाय, आप एक डोमेन कुंजी का उपयोग कर सकते हैं, जैसा कि पिछले लेख में दिखाया गया है। यह भी ध्यान दिया जाना चाहिए कि यदि डोमेन में क्रेडेंशियल रोमिंग नीति को मशीन में शामिल किया जाता है, तो विंडोज वॉल्ट डेटा को ldap में संग्रहीत किया जाएगा। आप डीपीएपीआई के बारे में हमारे पहले लेख में इसके बारे में पढ़ सकते हैं।

एक छोटा जोड़: स्क्रिप्ट को सही तरीके से काम करने के लिए, आपको सबसे अधिक पुराने पायथन लिंक को स्थापित करने की आवश्यकता होगी:

 apt install python-construct.legacy 

धोखा की चादर

पासवर्ड IE, एज, साथ ही विंडोज में संग्रहीत पासवर्ड को डिक्रिप्ट करने के लिए, आपको लेने की आवश्यकता है:

तिजोरी निर्देशिका

 c:\Users\<user>\AppData\Local\Microsoft\Vault\<GUID>\ 

मास्टर कुंजी के साथ कैटलॉग

 c:\Users\<user>\AppData\roaming\microsoft\Protect\<SID>\ 

रजिस्ट्री कुंजी सामग्री

 HKEY_USERS\<SID>\Software\Microsoft\Internet Explorer\IntelliForms\Storage2 HKEY_USERS>\<SID>\Software\Microsoft\Internet Explorer\typedurls 

इसके अलावा, आपको पासवर्ड के बिना डिक्रिप्शन के लिए उपयोगकर्ता पासवर्ड या डोमेन dpapi बैकअप कुंजी को जानना होगा।