Greek - Ht
HackTricks Training Twitter Linkedin Sponsor

Local Cloud Storage

Υποστήριξη HackTricks

Χρησιμοποιήστε Trickest για να δημιουργήσετε και να αυτοματοποιήσετε ροές εργασίας με τη βοήθεια των πιο προηγμένων εργαλείων της κοινότητας. Αποκτήστε πρόσβαση σήμερα:

OneDrive

Στα Windows, μπορείτε να βρείτε τον φάκελο OneDrive στο \Users\<username>\AppData\Local\Microsoft\OneDrive. Και μέσα στο logs\Personal είναι δυνατόν να βρείτε το αρχείο SyncDiagnostics.log το οποίο περιέχει ορισμένα ενδιαφέροντα δεδομένα σχετικά με τα συγχρονισμένα αρχεία:

  • Μέγεθος σε bytes

  • Ημερομηνία δημιουργίας

  • Ημερομηνία τροποποίησης

  • Αριθμός αρχείων στο cloud

  • Αριθμός αρχείων στον φάκελο

  • CID: Μοναδικό ID του χρήστη OneDrive

  • Χρόνος δημιουργίας αναφοράς

  • Μέγεθος του HD του OS

Αφού βρείτε το CID, συνιστάται να αναζητήσετε αρχεία που περιέχουν αυτό το ID. Μπορείτε να βρείτε αρχεία με το όνομα: <CID>.ini και <CID>.dat που μπορεί να περιέχουν ενδιαφέρουσες πληροφορίες όπως τα ονόματα των αρχείων που συγχρονίστηκαν με το OneDrive.

Google Drive

Στα Windows, μπορείτε να βρείτε τον κύριο φάκελο Google Drive στο \Users\<username>\AppData\Local\Google\Drive\user_default Αυτός ο φάκελος περιέχει ένα αρχείο που ονομάζεται Sync_log.log με πληροφορίες όπως τη διεύθυνση email του λογαριασμού, ονόματα αρχείων, χρονικές σφραγίδες, MD5 hashes των αρχείων, κ.λπ. Ακόμα και τα διαγραμμένα αρχεία εμφανίζονται σε αυτό το αρχείο καταγραφής με το αντίστοιχο MD5.

Το αρχείο Cloud_graph\Cloud_graph.db είναι μια βάση δεδομένων sqlite που περιέχει τον πίνακα cloud_graph_entry. Σε αυτόν τον πίνακα μπορείτε να βρείτε το όνομα των συγχρονισμένων αρχείων, τον χρόνο τροποποίησης, το μέγεθος και το MD5 checksum των αρχείων.

Τα δεδομένα του πίνακα της βάσης δεδομένων Sync_config.db περιέχουν τη διεύθυνση email του λογαριασμού, τη διαδρομή των κοινών φακέλων και την έκδοση του Google Drive.

Dropbox

Το Dropbox χρησιμοποιεί βάσεις δεδομένων SQLite για να διαχειρίζεται τα αρχεία. Σε αυτό Μπορείτε να βρείτε τις βάσεις δεδομένων στους φακέλους:

  • \Users\<username>\AppData\Local\Dropbox

  • \Users\<username>\AppData\Local\Dropbox\Instance1

  • \Users\<username>\AppData\Roaming\Dropbox

Και οι κύριες βάσεις δεδομένων είναι:

  • Sigstore.dbx

  • Filecache.dbx

  • Deleted.dbx

  • Config.dbx

Η επέκταση ".dbx" σημαίνει ότι οι βάσεις δεδομένων είναι κρυπτογραφημένες. Το Dropbox χρησιμοποιεί DPAPI (https://docs.microsoft.com/en-us/previous-versions/ms995355(v=msdn.10)?redirectedfrom=MSDN)

Για να κατανοήσετε καλύτερα την κρυπτογράφηση που χρησιμοποιεί το Dropbox, μπορείτε να διαβάσετε https://blog.digital-forensics.it/2017/04/brush-up-on-dropbox-dbx-decryption.html.

Ωστόσο, οι κύριες πληροφορίες είναι:

  • Entropy: d114a55212655f74bd772e37e64aee9b

  • Salt: 0D638C092E8B82FC452883F95F355B8E

  • Algorithm: PBKDF2

  • Iterations: 1066

Εκτός από αυτές τις πληροφορίες, για να αποκρυπτογραφήσετε τις βάσεις δεδομένων χρειάζεστε επίσης:

  • Το κρυπτογραφημένο κλειδί DPAPI: Μπορείτε να το βρείτε στο μητρώο μέσα στο NTUSER.DAT\Software\Dropbox\ks\client (εξάγετε αυτά τα δεδομένα ως δυαδικά)

  • Τις hives SYSTEM και SECURITY

  • Τα master keys DPAPI: Τα οποία μπορούν να βρεθούν στο \Users\<username>\AppData\Roaming\Microsoft\Protect

  • Το όνομα χρήστη και τον κωδικό πρόσβασης του χρήστη Windows

Στη συνέχεια, μπορείτε να χρησιμοποιήσετε το εργαλείο DataProtectionDecryptor:

Αν όλα πάνε όπως αναμένεται, το εργαλείο θα υποδείξει το κύριο κλειδί που χρειάζεστε για να χρησιμοποιήσετε για να ανακτήσετε το αρχικό. Για να ανακτήσετε το αρχικό, απλώς χρησιμοποιήστε αυτή τη συνταγή cyber_chef βάζοντας το κύριο κλειδί ως την "passphrase" μέσα στη συνταγή.

Το προκύπτον hex είναι το τελικό κλειδί που χρησιμοποιείται για την κρυπτογράφηση των βάσεων δεδομένων που μπορεί να αποκρυπτογραφηθεί με:

sqlite -k <Obtained Key> config.dbx ".backup config.db" #This decompress the config.dbx and creates a clear text backup in config.db

The config.dbx database contains:

  • Email: Η διεύθυνση email του χρήστη

  • usernamedisplayname: Το όνομα του χρήστη

  • dropbox_path: Διαδρομή όπου βρίσκεται ο φάκελος dropbox

  • Host_id: Hash που χρησιμοποιείται για την αυθεντικοποίηση στο cloud. Αυτό μπορεί να ανακληθεί μόνο από το διαδίκτυο.

  • Root_ns: Αναγνωριστικό χρήστη

The filecache.db database contains information about all the files and folders synchronized with Dropbox. The table File_journal is the one with more useful information:

  • Server_path: Διαδρομή όπου βρίσκεται το αρχείο μέσα στον διακομιστή (αυτή η διαδρομή προηγείται από το host_id του πελάτη).

  • local_sjid: Έκδοση του αρχείου

  • local_mtime: Ημερομηνία τροποποίησης

  • local_ctime: Ημερομηνία δημιουργίας

Other tables inside this database contain more interesting information:

  • block_cache: hash όλων των αρχείων και φακέλων του Dropbox

  • block_ref: Σχετίζει το hash ID του πίνακα block_cache με το ID του αρχείου στον πίνακα file_journal

  • mount_table: Κοινόχρηστοι φάκελοι του dropbox

  • deleted_fields: Διαγραμμένα αρχεία του Dropbox

  • date_added

Use Trickest to easily build and automate workflows powered by the world's most advanced community tools. Get Access Today:

Support HackTricks
PreviousDeofuscation vbs (cscript.exe)NextOffice file analysis

Last updated