Local Cloud Storage
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F197708944-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FE5VfhVAq0qYsgU9deMR8%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=8a381701&sv=1)
Use Trickest to easily build and automate workflows powered by the world's most advanced community tools. Get Access Today:
OneDrive
In Windows, puoi trovare la cartella OneDrive in \Users\<username>\AppData\Local\Microsoft\OneDrive
. E all'interno di logs\Personal
è possibile trovare il file SyncDiagnostics.log
che contiene alcuni dati interessanti riguardanti i file sincronizzati:
Dimensione in byte
Data di creazione
Data di modifica
Numero di file nel cloud
Numero di file nella cartella
CID: ID univoco dell'utente OneDrive
Tempo di generazione del report
Dimensione dell'HD del sistema operativo
Una volta trovato il CID, è consigliato cercare file contenenti questo ID. Potresti essere in grado di trovare file con il nome: <CID>.ini e <CID>.dat che potrebbero contenere informazioni interessanti come i nomi dei file sincronizzati con OneDrive.
Google Drive
In Windows, puoi trovare la cartella principale di Google Drive in \Users\<username>\AppData\Local\Google\Drive\user_default
Questa cartella contiene un file chiamato Sync_log.log con informazioni come l'indirizzo email dell'account, nomi dei file, timestamp, hash MD5 dei file, ecc. Anche i file eliminati appaiono in quel file di log con il corrispondente MD5.
Il file Cloud_graph\Cloud_graph.db
è un database sqlite che contiene la tabella cloud_graph_entry
. In questa tabella puoi trovare il nome dei file sincronizzati, il tempo di modifica, la dimensione e il checksum MD5 dei file.
I dati della tabella del database Sync_config.db
contengono l'indirizzo email dell'account, il percorso delle cartelle condivise e la versione di Google Drive.
Dropbox
Dropbox utilizza database SQLite per gestire i file. In questo Puoi trovare i database nelle cartelle:
\Users\<username>\AppData\Local\Dropbox
\Users\<username>\AppData\Local\Dropbox\Instance1
\Users\<username>\AppData\Roaming\Dropbox
E i principali database sono:
Sigstore.dbx
Filecache.dbx
Deleted.dbx
Config.dbx
L'estensione ".dbx" significa che i database sono criptati. Dropbox utilizza DPAPI (https://docs.microsoft.com/en-us/previous-versions/ms995355(v=msdn.10)?redirectedfrom=MSDN)
Per comprendere meglio la crittografia che utilizza Dropbox, puoi leggere https://blog.digital-forensics.it/2017/04/brush-up-on-dropbox-dbx-decryption.html.
Tuttavia, le informazioni principali sono:
Entropy: d114a55212655f74bd772e37e64aee9b
Salt: 0D638C092E8B82FC452883F95F355B8E
Algorithm: PBKDF2
Iterations: 1066
Oltre a queste informazioni, per decriptare i database hai ancora bisogno di:
La chiave DPAPI criptata: Puoi trovarla nel registro all'interno di
NTUSER.DAT\Software\Dropbox\ks\client
(esporta questi dati come binari)I hive
SYSTEM
eSECURITY
Le chiavi master DPAPI: Che possono essere trovate in
\Users\<username>\AppData\Roaming\Microsoft\Protect
Il nome utente e la password dell'utente Windows
Poi puoi utilizzare lo strumento DataProtectionDecryptor:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F197708944-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FE5VfhVAq0qYsgU9deMR8%252Fuploads%252Fgit-blob-a8cc69dc49198392afea4a449fb703e2f04d86e5%252Fimage%2520%28443%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=20ca167f&sv=1)
Se tutto va come previsto, lo strumento indicherà la chiave primaria che devi utilizzare per recuperare quella originale. Per recuperare quella originale, utilizza semplicemente questa ricetta cyber_chef mettendo la chiave primaria come "passphrase" all'interno della ricetta.
L'hex risultante è la chiave finale utilizzata per criptare i database che può essere decriptata con:
Il config.dbx
database contiene:
Email: L'email dell'utente
usernamedisplayname: Il nome dell'utente
dropbox_path: Percorso dove si trova la cartella di dropbox
Host_id: Hash utilizzato per autenticarsi nel cloud. Questo può essere revocato solo dal web.
Root_ns: Identificatore dell'utente
Il filecache.db
database contiene informazioni su tutti i file e le cartelle sincronizzati con Dropbox. La tabella File_journal
è quella con più informazioni utili:
Server_path: Percorso dove si trova il file all'interno del server (questo percorso è preceduto dal
host_id
del client).local_sjid: Versione del file
local_mtime: Data di modifica
local_ctime: Data di creazione
Altre tabelle all'interno di questo database contengono informazioni più interessanti:
block_cache: hash di tutti i file e le cartelle di Dropbox
block_ref: Collega l'ID hash della tabella
block_cache
con l'ID file nella tabellafile_journal
mount_table: Cartelle condivise di dropbox
deleted_fields: File eliminati da Dropbox
date_added
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F197708944-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FE5VfhVAq0qYsgU9deMR8%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=8a381701&sv=1)
Usa Trickest per costruire e automatizzare flussi di lavoro facilmente alimentati dagli strumenti della comunità più avanzati del mondo. Accedi oggi:
Impara e pratica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Impara e pratica GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated