Artefactos del Navegador

Reading time: 9 minutes

tip

Aprende y practica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Apoya a HackTricks

Artefactos del Navegador

Los artefactos del navegador incluyen varios tipos de datos almacenados por los navegadores web, como el historial de navegaci贸n, marcadores y datos de cach茅. Estos artefactos se mantienen en carpetas espec铆ficas dentro del sistema operativo, variando en ubicaci贸n y nombre entre navegadores, pero generalmente almacenando tipos de datos similares.

Aqu铆 hay un resumen de los artefactos de navegador m谩s comunes:

  • Historial de Navegaci贸n: Registra las visitas del usuario a sitios web, 煤til para identificar visitas a sitios maliciosos.
  • Datos de Autocompletar: Sugerencias basadas en b煤squedas frecuentes, ofreciendo informaci贸n cuando se combinan con el historial de navegaci贸n.
  • Marcadores: Sitios guardados por el usuario para acceso r谩pido.
  • Extensiones y Complementos: Extensiones del navegador o complementos instalados por el usuario.
  • Cach茅: Almacena contenido web (por ejemplo, im谩genes, archivos JavaScript) para mejorar los tiempos de carga de los sitios web, valioso para el an谩lisis forense.
  • Inicios de Sesi贸n: Credenciales de inicio de sesi贸n almacenadas.
  • Favicons: Iconos asociados con sitios web, que aparecen en pesta帽as y marcadores, 煤tiles para informaci贸n adicional sobre las visitas del usuario.
  • Sesiones del Navegador: Datos relacionados con las sesiones abiertas del navegador.
  • Descargas: Registros de archivos descargados a trav茅s del navegador.
  • Datos de Formularios: Informaci贸n ingresada en formularios web, guardada para futuras sugerencias de autocompletar.
  • Miniaturas: Im谩genes de vista previa de sitios web.
  • Custom Dictionary.txt: Palabras a帽adidas por el usuario al diccionario del navegador.

Firefox

Firefox organiza los datos del usuario dentro de perfiles, almacenados en ubicaciones espec铆ficas seg煤n el sistema operativo:

  • Linux: ~/.mozilla/firefox/
  • MacOS: /Users/$USER/Library/Application Support/Firefox/Profiles/
  • Windows: %userprofile%\AppData\Roaming\Mozilla\Firefox\Profiles\

Un archivo profiles.ini dentro de estos directorios lista los perfiles de usuario. Los datos de cada perfil se almacenan en una carpeta nombrada en la variable Path dentro de profiles.ini, ubicada en el mismo directorio que profiles.ini mismo. Si falta la carpeta de un perfil, puede haber sido eliminada.

Dentro de cada carpeta de perfil, puedes encontrar varios archivos importantes:

  • places.sqlite: Almacena historial, marcadores y descargas. Herramientas como BrowsingHistoryView en Windows pueden acceder a los datos del historial.
  • Usa consultas SQL espec铆ficas para extraer informaci贸n de historial y descargas.
  • bookmarkbackups: Contiene copias de seguridad de marcadores.
  • formhistory.sqlite: Almacena datos de formularios web.
  • handlers.json: Gestiona los controladores de protocolo.
  • persdict.dat: Palabras del diccionario personalizado.
  • addons.json y extensions.sqlite: Informaci贸n sobre complementos y extensiones instalados.
  • cookies.sqlite: Almacenamiento de cookies, con MZCookiesView disponible para inspecci贸n en Windows.
  • cache2/entries o startupCache: Datos de cach茅, accesibles a trav茅s de herramientas como MozillaCacheView.
  • favicons.sqlite: Almacena favicons.
  • prefs.js: Configuraciones y preferencias del usuario.
  • downloads.sqlite: Base de datos de descargas antiguas, ahora integrada en places.sqlite.
  • thumbnails: Miniaturas de sitios web.
  • logins.json: Informaci贸n de inicio de sesi贸n encriptada.
  • key4.db o key3.db: Almacena claves de encriptaci贸n para asegurar informaci贸n sensible.

Adem谩s, verificar la configuraci贸n de anti-phishing del navegador se puede hacer buscando entradas browser.safebrowsing en prefs.js, indicando si las funciones de navegaci贸n segura est谩n habilitadas o deshabilitadas.

Para intentar descifrar la contrase帽a maestra, puedes usar https://github.com/unode/firefox_decrypt
Con el siguiente script y llamada puedes especificar un archivo de contrase帽a para realizar un ataque de fuerza bruta:

brute.sh
#!/bin/bash

#./brute.sh top-passwords.txt 2>/dev/null | grep -A2 -B2 "chrome:"
passfile=$1
while read pass; do
echo "Trying $pass"
echo "$pass" | python firefox_decrypt.py
done < $passfile

Google Chrome

Google Chrome almacena perfiles de usuario en ubicaciones espec铆ficas seg煤n el sistema operativo:

  • Linux: ~/.config/google-chrome/
  • Windows: C:\Users\XXX\AppData\Local\Google\Chrome\User Data\
  • MacOS: /Users/$USER/Library/Application Support/Google/Chrome/

Dentro de estos directorios, la mayor铆a de los datos del usuario se pueden encontrar en las carpetas Default/ o ChromeDefaultData/. Los siguientes archivos contienen datos significativos:

  • History: Contiene URLs, descargas y palabras clave de b煤squeda. En Windows, se puede usar ChromeHistoryView para leer el historial. La columna "Transition Type" tiene varios significados, incluyendo clics del usuario en enlaces, URLs escritas, env铆os de formularios y recargas de p谩gina.
  • Cookies: Almacena cookies. Para inspecci贸n, est谩 disponible ChromeCookiesView.
  • Cache: Contiene datos en cach茅. Para inspeccionar, los usuarios de Windows pueden utilizar ChromeCacheView.
  • Bookmarks: Marcadores del usuario.
  • Web Data: Contiene el historial de formularios.
  • Favicons: Almacena favicons de sitios web.
  • Login Data: Incluye credenciales de inicio de sesi贸n como nombres de usuario y contrase帽as.
  • Current Session/Current Tabs: Datos sobre la sesi贸n de navegaci贸n actual y las pesta帽as abiertas.
  • Last Session/Last Tabs: Informaci贸n sobre los sitios activos durante la 煤ltima sesi贸n antes de que se cerrara Chrome.
  • Extensions: Directorios para extensiones y complementos del navegador.
  • Thumbnails: Almacena miniaturas de sitios web.
  • Preferences: Un archivo rico en informaci贸n, incluyendo configuraciones para complementos, extensiones, ventanas emergentes, notificaciones y m谩s.
  • Browser鈥檚 built-in anti-phishing: Para verificar si la protecci贸n contra phishing y malware est谩 habilitada, ejecute grep 'safebrowsing' ~/Library/Application Support/Google/Chrome/Default/Preferences. Busque {"enabled: true,"} en la salida.

Recuperaci贸n de Datos de SQLite DB

Como se puede observar en las secciones anteriores, tanto Chrome como Firefox utilizan bases de datos SQLite para almacenar los datos. Es posible recuperar entradas eliminadas utilizando la herramienta sqlparse o sqlparse_gui.

Internet Explorer 11

Internet Explorer 11 gestiona sus datos y metadatos en varias ubicaciones, ayudando a separar la informaci贸n almacenada y sus detalles correspondientes para un f谩cil acceso y gesti贸n.

Almacenamiento de Metadatos

Los metadatos para Internet Explorer se almacenan en %userprofile%\Appdata\Local\Microsoft\Windows\WebCache\WebcacheVX.data (siendo VX V01, V16 o V24). Acompa帽ando esto, el archivo V01.log puede mostrar discrepancias en el tiempo de modificaci贸n con WebcacheVX.data, indicando la necesidad de reparaci贸n usando esentutl /r V01 /d. Este metadato, alojado en una base de datos ESE, puede ser recuperado e inspeccionado utilizando herramientas como photorec y ESEDatabaseView, respectivamente. Dentro de la tabla Containers, se puede discernir las tablas o contenedores espec铆ficos donde se almacena cada segmento de datos, incluyendo detalles de cach茅 para otras herramientas de Microsoft como Skype.

Inspecci贸n de Cach茅

La herramienta IECacheView permite la inspecci贸n de cach茅, requiriendo la ubicaci贸n de la carpeta de extracci贸n de datos de cach茅. Los metadatos de cach茅 incluyen nombre de archivo, directorio, conteo de accesos, origen de URL y marcas de tiempo que indican la creaci贸n, acceso, modificaci贸n y tiempos de expiraci贸n de la cach茅.

Gesti贸n de Cookies

Las cookies se pueden explorar usando IECookiesView, con metadatos que abarcan nombres, URLs, conteos de acceso y varios detalles relacionados con el tiempo. Las cookies persistentes se almacenan en %userprofile%\Appdata\Roaming\Microsoft\Windows\Cookies, mientras que las cookies de sesi贸n residen en memoria.

Detalles de Descargas

Los metadatos de descargas son accesibles a trav茅s de ESEDatabaseView, con contenedores espec铆ficos que contienen datos como URL, tipo de archivo y ubicaci贸n de descarga. Los archivos f铆sicos se pueden encontrar en %userprofile%\Appdata\Roaming\Microsoft\Windows\IEDownloadHistory.

Historial de Navegaci贸n

Para revisar el historial de navegaci贸n, se puede usar BrowsingHistoryView, requiriendo la ubicaci贸n de los archivos de historial extra铆dos y la configuraci贸n para Internet Explorer. Los metadatos aqu铆 incluyen tiempos de modificaci贸n y acceso, junto con conteos de acceso. Los archivos de historial se encuentran en %userprofile%\Appdata\Local\Microsoft\Windows\History.

URLs Escritas

Las URLs escritas y sus tiempos de uso se almacenan en el registro bajo NTUSER.DAT en Software\Microsoft\InternetExplorer\TypedURLs y Software\Microsoft\InternetExplorer\TypedURLsTime, rastreando las 煤ltimas 50 URLs ingresadas por el usuario y sus 煤ltimos tiempos de entrada.

Microsoft Edge

Microsoft Edge almacena datos de usuario en %userprofile%\Appdata\Local\Packages. Las rutas para varios tipos de datos son:

  • Profile Path: C:\Users\XX\AppData\Local\Packages\Microsoft.MicrosoftEdge_XXX\AC
  • History, Cookies, and Downloads: C:\Users\XX\AppData\Local\Microsoft\Windows\WebCache\WebCacheV01.dat
  • Settings, Bookmarks, and Reading List: C:\Users\XX\AppData\Local\Packages\Microsoft.MicrosoftEdge_XXX\AC\MicrosoftEdge\User\Default\DataStore\Data\nouser1\XXX\DBStore\spartan.edb
  • Cache: C:\Users\XXX\AppData\Local\Packages\Microsoft.MicrosoftEdge_XXX\AC#!XXX\MicrosoftEdge\Cache
  • Last Active Sessions: C:\Users\XX\AppData\Local\Packages\Microsoft.MicrosoftEdge_XXX\AC\MicrosoftEdge\User\Default\Recovery\Active

Safari

Los datos de Safari se almacenan en /Users/$User/Library/Safari. Los archivos clave incluyen:

  • History.db: Contiene tablas history_visits y history_items con URLs y marcas de tiempo de visitas. Use sqlite3 para consultar.
  • Downloads.plist: Informaci贸n sobre archivos descargados.
  • Bookmarks.plist: Almacena URLs marcadas.
  • TopSites.plist: Sitios m谩s visitados.
  • Extensions.plist: Lista de extensiones del navegador Safari. Use plutil o pluginkit para recuperar.
  • UserNotificationPermissions.plist: Dominios permitidos para enviar notificaciones. Use plutil para analizar.
  • LastSession.plist: Pesta帽as de la 煤ltima sesi贸n. Use plutil para analizar.
  • Browser鈥檚 built-in anti-phishing: Verifique usando defaults read com.apple.Safari WarnAboutFraudulentWebsites. Una respuesta de 1 indica que la funci贸n est谩 activa.

Opera

Los datos de Opera residen en /Users/$USER/Library/Application Support/com.operasoftware.Opera y comparte el formato de Chrome para historial y descargas.

  • Browser鈥檚 built-in anti-phishing: Verifique comprobando si fraud_protection_enabled en el archivo de preferencias est谩 configurado como true usando grep.

Estas rutas y comandos son cruciales para acceder y comprender los datos de navegaci贸n almacenados por diferentes navegadores web.

Referencias

tip

Aprende y practica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Apoya a HackTricks