chlonium

Chlonium Chlonium 是一款用于克隆 Chromium Cookie 的应用程序。 从 Chromium 80 及更高版本开始，Cookie 使用 AES-256 GCM 加密，并使用存储在 Local State 文件中的状态密钥。该状态密钥通过 DPAPI 加密。这与旧版本不同，旧版本使用 DPAPI 对 Cookie 数据库中的每个 Cookie 项进行单独加密。这意味着，如果你拥有状态密钥，就可以随时离线解密 Cookie 数据库，无需持续访问 DPAPI 密钥。 这实际上使 Cookie...

chlonium

Chlonium Chlonium is an application designed for cloning Chromium Cookies. From Chromium 80 and upwards, cookies are encrypted using AES-256 GCM, with a state key which is stored in the Local State file. This state key is encrypted using DPAPI. This is a change from older versions, which used DPA...

LaZagneForensic

LaZagne项目 !!! 描述 LaZagne项目 又回来了 !!! LaZagne 使用一个名为 CryptUnprotectData 的Windows内部函数来解密用户密码。这个API应该在受害者用户会话中调用，否则无法正常工作。如果计算机尚未启动（在离线挂载磁盘上进行分析时），或者我们不想在远程主机上放置二进制文件，则无法检索到任何密码。 LaZagneForensic 是为了解决这个问题而创建的。这项工作主要受 Jean-Michel Picod 和 Elie Bursztein 为 DPAPICK 所做的出色工作，以及 Francesco Picasso 为 Windows...

lsawhisper-bof

LSA Whisperer BOF 一个 Cobalt Strike Beacon 对象文件 BOF 移植版，基于 LSA Whisperer——该工具通过 LSA 非受信/受信客户端接口直接与 Windows 身份验证包通信，即使启用了 PPL 和 Credential Guard，也无需访问 LSASS 进程内存。 为什么存在 LSA Whisperer 由 Evan McBroom（SpecterOps）开发，证明了你可以通过合法的 LsaCallAuthenticationPackage API 调用恢复 DPAPI 凭据密钥、提取云 SSO 令牌以及与 Kerberos...

VeeamDumper-BOF

Veeam Dumper BOF Una BOF de extracción de credenciales para Veeam Backup and Replication y Veeam One por Stephen Munro y Logan Kroeger de @MWRCyberSec. La BOF debe ejecutarse en un beacon de administrador en un servidor de Veeam One o Veeam Backup and Replication y es compatible con Cobalt Strike...

DPAPISnoop

DPAPISnoop Una herramienta en C que extrae hashes DPAPI crackeables de las MasterKeys de usuario y de los archivos CREDHIST. Apunta tanto a la MasterKey $DPAPImk$ como a toda la cadena CREDHIST $credhist$, con soporte para rutas locales y recursos compartidos SMB remotos. Qué extrae Hashes de...

solarflare

solarflare Credential Dumping Tool for SolarWinds Orion Blog post: https://malicious.link/post/2020/solarflare-release-password-dumper-for-solarwinds-orion/ Credit to @asolino, @gentilkiwi, and @skelsec for helping me figuring out DPAPI. ============================================ | Collecting...

solarflare

solarflare SolarWinds Orion 凭据提取工具 博客文章：https://malicious.link/post/2020/solarflare-release-password-dumper-for-solarwinds-orion/ 感谢 @asolino、@gentilkiwi 和 @skelsec 帮助我理解 DPAPI。 ============================================ | 收集 RabbitMQ Erlang Cookie | Erlang Cookie: abcdefg12456789abcde...

DonPAPI

DonPAPI DonPAPI 可在多台 Windows 计算机上远程自动转储机密，同时具备防御规避意识。 收集的凭据： Chromium 浏览器凭据、Cookie 和 Chrome 刷新令牌 Windows 证书 凭据管理器 Firefox 浏览器凭据和 Cookie Mobaxterm 凭据 MRemoteNg 凭据 RDC Manager 凭据 桌面和最近文件夹中的文件 SCCM 凭据 保险库凭据 VNC 凭据 Wi-Fi 凭据 我们曾用法语做过一次关于 DPAPI 的演讲，标题为 DPAPI - Don't Put Administration Passwords In 🇫🇷 ：...

mimikatz-missing-manual

Mimikatz缺失手册 Windows身份、Kerberos和PKI研究的权威指南。 最初作为面向安全会议的高端培训课程内部开发，现在向公众发布。本文档中记录的许多技术深度和内部逻辑是在Mimikatz作者 Benjamin Delpy 的直接帮助和洞察下完善的。 关于本手册 本项目将多年的讲师授课材料转变为自定进度的深入手册。它不仅解释命令，还解释被操控的Windows协议背后的 为什么 和 如何 。 本手册面向： 红队 ：详细的命令参考和操作技巧。 蓝队 ：检测策略、事件日志特征和缓解指南。 安全研究人员 ：关于Windows安全机构（LSA）内部机制的高级课程。 您可以在...

tofu

tofu 一个用于破解离线Windows文件系统和绕过登录屏幕的模块化工具。可以执行哈希转储、OSK后门、用户枚举等操作。 工作原理： 当一台Windows机器关机时，除非启用了Bitlocker或其他加密服务，其存储设备包含设备上锁定时存储的所有内容。这意味着你可以从可启动USB启动操作系统并访问其文件 - 甚至只需将文件系统连接到另一台计算机即可。 该工具用于当你可以从Linux访问Windows文件系统时（使用上述方法之一）；它包含转储NTLM密码哈希、列出用户、安装后门以在登录屏幕生成提权命令提示符等实用工具。 模块：...

pypykatz

🚩 Sponsors If you like this project, consider purchasing licenses of OctoPwn, our full pentesting suite that runs in your browser! For notifications on new builds/releases and other info, hop on to our Discord pypykatz Mimikatz implementation in pure Python. At least a part of it : Runs on all OS...

SharpDPAPI

SharpDPAPI SharpDPAPI es un port a C de algunas funcionalidades de DPAPI del proyecto Mimikatz de @gentilkiwi. No se me ocurrió esta lógica, es simplemente un port desde Mimikatz para comprender mejor el proceso y operacionalizarlo para que se ajuste a nuestro flujo de trabajo. El subproyecto...

dploot

dploot dploot is Python rewrite of SharpDPAPI written in C by Harmj0y, which is itself a port of DPAPI from Mimikatz by gentilkiwi. It implements all the DPAPI logic of these tools, but this time it is usable with a python interpreter and from a Linux environment. If you don't know what is DPAPI,...

dpapi-ng

dpaping - Biblioteca de des-/cifrado DPAPI-NG para Python Biblioteca para el des-/cifrado de DPAPI NG, también conocido como CNG DPAPI, en Python. Está diseñada para replicar el comportamiento de NCryptUnprotectSecret y NCryptProtectSecret. Puede utilizarse en hosts que no sean Windows para...

CacheData_decrypt

CacheDatadecrypt Un simple kit de herramientas para hacer fuerza bruta y descifrar el CacheData de Windows EntraId. usage: decryptcachedata.py -h pin,password ... CacheData bruteforcer. On a live windows host, to copy the folders with all subfolders and files: xcopy /H /E /G /C as SYSTEM. The...

CVE-2026-92680

CVE-2026-92680 Proof of Concept Araxis Merge for Windows stores server credentials with DPAPI with pOptionalEntropy set to NULL. This allows any code running in the same user context to decrypt them. Full writeup: https://grepstrength.com/research/araxis-merge | ---|--- CVE| CVE-2026-92680 CWE|...

dpapi-toolkit

DPAPI-toolkit Un toolkit offline para evidencia DPAPI de Windows. Recopilas los archivos, apuntas la herramienta a un artefacto, y esta reconoce el formato y te dice exactamente qué clave maestra necesita; tú proporcionas el material de clave y esta descifra. La mayoría de las herramientas DPAPI...

MAL-2026-12513 Malicious code in async-mutex-lock (npm)

--- -= Per source details. Do not edit below this line.=- Source: amazon-inspector e195fef439eb6af3d28576857a30030e4bd839406fa36b2f939279743f12188e The package is advertised as a mutex-lock utility but ships none of the documented API no Mutex/lock/unlock. Its sole export, getPlugin in index.js,...

MAL-2026-11123 Malicious code in @yancyyu/agentcli (npm)

The npm package @yancyyu/agentcli ships a Feishu/Lark credential stealer. An auto-started telemetry worker src/main/telemetry/worker.ts, started via agentcli init/agentcli usage start and macOS launchd calls safeScanLarkCredentials in its periodic run loop; the scan reads and decrypts local Lark...