Local Cloud Storage
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5de16767&sv=1)
Use Trickest para construir e automatizar fluxos de trabalho facilmente com as ferramentas da comunidade mais avançadas do mundo. Acesse hoje:
OneDrive
No Windows, você pode encontrar a pasta do OneDrive em \Users\<username>\AppData\Local\Microsoft\OneDrive
. E dentro de logs\Personal
é possível encontrar o arquivo SyncDiagnostics.log
que contém alguns dados interessantes sobre os arquivos sincronizados:
Tamanho em bytes
Data de criação
Data de modificação
Número de arquivos na nuvem
Número de arquivos na pasta
CID: ID único do usuário do OneDrive
Hora de geração do relatório
Tamanho do HD do sistema operacional
Uma vez que você tenha encontrado o CID, é recomendado procurar arquivos contendo esse ID. Você pode encontrar arquivos com o nome: <CID>.ini e <CID>.dat que podem conter informações interessantes, como os nomes dos arquivos sincronizados com o OneDrive.
Google Drive
No Windows, você pode encontrar a pasta principal do Google Drive em \Users\<username>\AppData\Local\Google\Drive\user_default
Esta pasta contém um arquivo chamado Sync_log.log com informações como o endereço de e-mail da conta, nomes de arquivos, timestamps, hashes MD5 dos arquivos, etc. Até arquivos deletados aparecem nesse arquivo de log com seu correspondente MD5.
O arquivo Cloud_graph\Cloud_graph.db
é um banco de dados sqlite que contém a tabela cloud_graph_entry
. Nesta tabela, você pode encontrar o nome dos arquivos sincronizados, hora de modificação, tamanho e o checksum MD5 dos arquivos.
Os dados da tabela do banco de dados Sync_config.db
contêm o endereço de e-mail da conta, o caminho das pastas compartilhadas e a versão do Google Drive.
Dropbox
O Dropbox usa bancos de dados SQLite para gerenciar os arquivos. Neste Você pode encontrar os bancos de dados nas pastas:
\Users\<username>\AppData\Local\Dropbox
\Users\<username>\AppData\Local\Dropbox\Instance1
\Users\<username>\AppData\Roaming\Dropbox
E os principais bancos de dados são:
Sigstore.dbx
Filecache.dbx
Deleted.dbx
Config.dbx
A extensão ".dbx" significa que os bancos de dados estão criptografados. O Dropbox usa DPAPI (https://docs.microsoft.com/en-us/previous-versions/ms995355(v=msdn.10)?redirectedfrom=MSDN)
Para entender melhor a criptografia que o Dropbox usa, você pode ler https://blog.digital-forensics.it/2017/04/brush-up-on-dropbox-dbx-decryption.html.
No entanto, as principais informações são:
Entropia: d114a55212655f74bd772e37e64aee9b
Sal: 0D638C092E8B82FC452883F95F355B8E
Algoritmo: PBKDF2
Iterações: 1066
Além dessas informações, para descriptografar os bancos de dados, você ainda precisa:
A chave DPAPI criptografada: Você pode encontrá-la no registro dentro de
NTUSER.DAT\Software\Dropbox\ks\client
(exporte esses dados como binário)Os hives
SYSTEM
eSECURITY
As chaves mestras DPAPI: Que podem ser encontradas em
\Users\<username>\AppData\Roaming\Microsoft\Protect
O nome de usuário e senha do usuário do Windows
Então você pode usar a ferramenta DataProtectionDecryptor:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-a8cc69dc49198392afea4a449fb703e2f04d86e5%252Fimage%2520%28443%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=4dde8801&sv=1)
Se tudo correr como esperado, a ferramenta indicará a chave primária que você precisa usar para recuperar a original. Para recuperar a original, basta usar esta receita do cyber_chef colocando a chave primária como a "senha" dentro da receita.
O hex resultante é a chave final usada para criptografar os bancos de dados que podem ser descriptografados com:
O config.dbx
banco de dados contém:
Email: O email do usuário
usernamedisplayname: O nome do usuário
dropbox_path: Caminho onde a pasta do dropbox está localizada
Host_id: Hash usado para autenticar na nuvem. Isso só pode ser revogado pela web.
Root_ns: Identificador do usuário
O filecache.db
banco de dados contém informações sobre todos os arquivos e pastas sincronizados com o Dropbox. A tabela File_journal
é a que contém mais informações úteis:
Server_path: Caminho onde o arquivo está localizado dentro do servidor (este caminho é precedido pelo
host_id
do cliente).local_sjid: Versão do arquivo
local_mtime: Data de modificação
local_ctime: Data de criação
Outras tabelas dentro deste banco de dados contêm informações mais interessantes:
block_cache: hash de todos os arquivos e pastas do Dropbox
block_ref: Relaciona o ID do hash da tabela
block_cache
com o ID do arquivo na tabelafile_journal
mount_table: Pastas compartilhadas do dropbox
deleted_fields: Arquivos deletados do Dropbox
date_added
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5de16767&sv=1)
Use Trickest para construir e automatizar fluxos de trabalho facilmente com as ferramentas da comunidade mais avançadas do mundo. Obtenha Acesso Hoje:
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated