在当今企业IT环境中,浏览器已成为用户凭证存储的重要载体。随着单点登录(SSO)和基于浏览器的SaaS应用的普及,浏览器中的敏感数据 - - 包括密码、会话Cookie、OAuth令牌和自动填充信息 - - 成为攻击者的重要目标。Maldev Academy开发的DumpBrowserSecrets工具,正是针对这一攻击面设计的高级后渗透工具,能够突破现代浏览器的加密保护机制,窃取多种浏览器中的敏感数据。DumpBrowserSecrets的核心功能是从Chrome、Edge、Firefox等主流浏览器中提取加密存储的凭证信息。与传统的Mimikatz等工具不同,它专注于浏览器层面的凭证存储,而非Windows系统的LSASS或SAM数据库。这种攻击方式在企业环境中尤为危险,因为开发人员和管理员的浏览器中往往同时保存着GitHub、AWS控制台、Okta等多个关键服务的活跃会话,一旦被窃取,攻击者可以直接利用这些会话进行横向移动或持久化访问。
工具的技术实现非常巧妙。对于采用应用绑定加密(App-Bound Encryption)的Chromium浏览器(如Chrome、Edge、Brave),DumpBrowserSecrets通过生成一个无头浏览器进程,并利用Early Bird APC注入技术将DLL注入到该进程中。这种注入方式能够在目标进程的主线程启动之前执行代码,从而绕过常规的进程保护机制。注入的DLL利用IElevator COM接口,在浏览器进程上下文中解密app_bound_encrypted_key,然后通过命名管道将解密后的密钥返回给主程序。主程序随后解析浏览器的SQLite数据库,提取并解密存储的敏感数据。对于Opera、Opera GX和Vivaldi等基于DPAPI加密的浏览器,工具采用类似的注入方法,但目标是提取DPAPI密钥。
而对于Firefox,由于其使用Mozilla的NSS库进行加密,工具直接处理提取和解密过程,无需DLL注入。这种多样化的处理方式使得DumpBrowserSecrets能够覆盖几乎所有主流浏览器,包括Chromium和Gecko内核的浏览器。在企业环境中,浏览器凭证窃取攻击的威胁不容忽视。开发人员的工作站通常保存着多个云服务的活跃会话,这些会话中的OAuth令牌和会话Cookie可以绕过传统的密码保护机制。攻击者通过DumpBrowserSecrets提取的数据,可以直接用于恶意会话重放,甚至在密码被重置后仍然有效。此外,浏览器中的自动填充信息往往包含内部主机名和用户名等敏感信息,为攻击者提供了进一步的攻击向量。
为了应对这种威胁,企业需要采取多层次的防御策略。首先,应当加强对浏览器进程异常行为的监控,特别是无头浏览器的实例化和进程注入行为。其次,企业应当考虑使用独立的密码管理器,将敏感凭证存储在浏览器之外,从而减少攻击面。此外,定期审计和轮换浏览器存储的凭证,也是减少风险的有效措施。DumpBrowserSecrets的出现,反映了现代企业IT环境中凭证存储模式的变化。随着云服务和SaaS应用的普及,浏览器已成为凭证存储的重要载体,而传统的LSASS保护机制无法覆盖这一攻击面。
企业需要重新评估其凭证管理策略,确保在采用新技术的同时,也能有效应对新的安全威胁。通过理解DumpBrowserSecrets的工作原理和攻击手法,企业可以更好地识别和防御类似的浏览器凭证窃取攻击,保护其关键业务系统的安全。 。
