Local Cloud Storage
Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=55a3d9f2&sv=1)
Використовуйте Trickest для легкого створення та автоматизації робочих процесів, підтримуваних найсучаснішими інструментами спільноти. Отримайте доступ сьогодні:
OneDrive
У Windows ви можете знайти папку OneDrive за адресою \Users\<username>\AppData\Local\Microsoft\OneDrive
. А всередині logs\Personal
можна знайти файл SyncDiagnostics.log
, який містить цікаві дані щодо синхронізованих файлів:
Розмір у байтах
Дата створення
Дата модифікації
Кількість файлів у хмарі
Кількість файлів у папці
CID: Унікальний ID користувача OneDrive
Час генерації звіту
Розмір жорсткого диска ОС
Після того, як ви знайдете CID, рекомендується шукати файли, що містять цей ID. Ви можете знайти файли з іменами: <CID>.ini та <CID>.dat, які можуть містити цікаву інформацію, таку як назви файлів, синхронізованих з OneDrive.
Google Drive
У Windows ви можете знайти основну папку Google Drive за адресою \Users\<username>\AppData\Local\Google\Drive\user_default
Ця папка містить файл під назвою Sync_log.log з інформацією, такою як адреса електронної пошти облікового запису, імена файлів, мітки часу, MD5 хеші файлів тощо. Навіть видалені файли з'являються в цьому файлі журналу з відповідним MD5.
Файл Cloud_graph\Cloud_graph.db
є базою даних sqlite, яка містить таблицю cloud_graph_entry
. У цій таблиці ви можете знайти назви синхронізованих файлів, час модифікації, розмір та MD5 контрольну суму файлів.
Дані таблиці бази даних Sync_config.db
містять адресу електронної пошти облікового запису, шлях до спільних папок та версію Google Drive.
Dropbox
Dropbox використовує SQLite бази даних для управління файлами. У цьому Ви можете знайти бази даних у папках:
\Users\<username>\AppData\Local\Dropbox
\Users\<username>\AppData\Local\Dropbox\Instance1
\Users\<username>\AppData\Roaming\Dropbox
А основні бази даних:
Sigstore.dbx
Filecache.dbx
Deleted.dbx
Config.dbx
Розширення ".dbx" означає, що бази даних є зашифрованими. Dropbox використовує DPAPI (https://docs.microsoft.com/en-us/previous-versions/ms995355(v=msdn.10)?redirectedfrom=MSDN)
Щоб краще зрозуміти шифрування, яке використовує Dropbox, ви можете прочитати https://blog.digital-forensics.it/2017/04/brush-up-on-dropbox-dbx-decryption.html.
Однак основна інформація:
Ентропія: d114a55212655f74bd772e37e64aee9b
Сіль: 0D638C092E8B82FC452883F95F355B8E
Алгоритм: PBKDF2
Ітерації: 1066
Окрім цієї інформації, для розшифрування баз даних вам також знадобиться:
Зашифрований ключ DPAPI: Ви можете знайти його в реєстрі за адресою
NTUSER.DAT\Software\Dropbox\ks\client
(експортуйте ці дані у бінарному вигляді)SYSTEM
таSECURITY
хівиГоловні ключі DPAPI: які можна знайти за адресою
\Users\<username>\AppData\Roaming\Microsoft\Protect
Ім'я користувача та пароль користувача Windows
Тоді ви можете використовувати інструмент DataProtectionDecryptor:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-a8cc69dc49198392afea4a449fb703e2f04d86e5%252Fimage%2520%28443%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=2a102dba&sv=1)
Якщо все піде за планом, інструмент вкаже на основний ключ, який вам потрібно використати для відновлення оригінального. Щоб відновити оригінал, просто використовуйте цей рецепт cyber_chef, ставлячи основний ключ як "пароль" у рецепті.
Отриманий hex є фінальним ключем, використаним для шифрування баз даних, які можна розшифрувати за допомогою:
The config.dbx
база даних містить:
Email: Електронна пошта користувача
usernamedisplayname: Ім'я користувача
dropbox_path: Шлях, де знаходиться папка dropbox
Host_id: Hash використовується для аутентифікації в хмарі. Це можна скасувати лише з вебу.
Root_ns: Ідентифікатор користувача
The filecache.db
база даних містить інформацію про всі файли та папки, синхронізовані з Dropbox. Таблиця File_journal
є тією, що містить більше корисної інформації:
Server_path: Шлях, де файл знаходиться на сервері (цей шлях передує
host_id
клієнта).local_sjid: Версія файлу
local_mtime: Дата модифікації
local_ctime: Дата створення
Інші таблиці всередині цієї бази даних містять більш цікаву інформацію:
block_cache: хеш усіх файлів та папок Dropbox
block_ref: Пов'язує хеш ID таблиці
block_cache
з ID файлу в таблиціfile_journal
mount_table: Спільні папки Dropbox
deleted_fields: Видалені файли Dropbox
date_added
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=55a3d9f2&sv=1)
Використовуйте Trickest для легкого створення та автоматизації робочих процесів, підтримуваних найсучаснішими інструментами спільноти. Отримайте доступ сьогодні:
Вчіться та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вчіться та практикуйте GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated