Artefactos del Navegador

Reading time: 10 minutes

tip

Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprende y practica Hacking en Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Apoya a HackTricks

Artefactos del navegador

Los artefactos del navegador incluyen varios tipos de datos almacenados por los navegadores web, como historial de navegaci贸n, marcadores y datos de cach茅. Estos artefactos se guardan en carpetas espec铆ficas dentro del sistema operativo, cambiando de ubicaci贸n y nombre seg煤n el navegador, aunque en general contienen tipos de datos similares.

Aqu铆 hay un resumen de los artefactos de navegador m谩s comunes:

  • Navigation History: Registra las visitas del usuario a sitios web, 煤til para identificar visitas a sitios maliciosos.
  • Autocomplete Data: Sugerencias basadas en b煤squedas frecuentes, que ofrecen informaci贸n cuando se combinan con el historial de navegaci贸n.
  • Bookmarks: Sitios guardados por el usuario para acceso r谩pido.
  • Extensions and Add-ons: Extensiones o complementos instalados por el usuario.
  • Cache: Almacena contenido web (por ejemplo, im谩genes, archivos JavaScript) para mejorar los tiempos de carga del sitio, valioso para an谩lisis forense.
  • Logins: Credenciales de inicio de sesi贸n almacenadas.
  • Favicons: Iconos asociados a sitios web, que aparecen en pesta帽as y marcadores, 煤tiles para informaci贸n adicional sobre visitas del usuario.
  • Browser Sessions: Datos relacionados con sesiones de navegador abiertas.
  • Downloads: Registros de archivos descargados a trav茅s del navegador.
  • Form Data: Informaci贸n introducida en formularios web, guardada para futuras sugerencias de autocompletar.
  • Thumbnails: Im谩genes en miniatura de sitios web.
  • Custom Dictionary.txt: Palabras a帽adidas por el usuario al diccionario del navegador.

Firefox

Firefox organiza los datos de usuario dentro de perfiles, almacenados en ubicaciones espec铆ficas seg煤n el sistema operativo:

  • Linux: ~/.mozilla/firefox/
  • MacOS: /Users/$USER/Library/Application Support/Firefox/Profiles/
  • Windows: %userprofile%\AppData\Roaming\Mozilla\Firefox\Profiles\

Un archivo profiles.ini dentro de estos directorios lista los perfiles de usuario. Los datos de cada perfil se almacenan en una carpeta cuyo nombre est谩 en la variable Path dentro de profiles.ini, ubicada en el mismo directorio que profiles.ini. Si falta la carpeta de un perfil, puede haber sido eliminada.

Dentro de cada carpeta de perfil, puedes encontrar varios archivos importantes:

  • places.sqlite: Almacena historial, marcadores y descargas. Tools like BrowsingHistoryView on Windows can access the history data.
  • Usa consultas SQL espec铆ficas para extraer informaci贸n de historial y descargas.
  • bookmarkbackups: Contiene copias de seguridad de marcadores.
  • formhistory.sqlite: Almacena datos de formularios web.
  • handlers.json: Gestiona los manejadores de protocolo.
  • persdict.dat: Palabras del diccionario personalizado.
  • addons.json and extensions.sqlite: Informaci贸n sobre add-ons y extensiones instaladas.
  • cookies.sqlite: Almacenamiento de cookies, con MZCookiesView disponible para inspecci贸n en Windows.
  • cache2/entries or startupCache: Datos de cach茅, accesibles mediante herramientas como MozillaCacheView.
  • favicons.sqlite: Almacena favicons.
  • prefs.js: Configuraciones y preferencias del usuario.
  • downloads.sqlite: Base de datos de descargas antigua, ahora integrada en places.sqlite.
  • thumbnails: Miniaturas de sitios web.
  • logins.json: Informaci贸n de inicio de sesi贸n encriptada.
  • key4.db or key3.db: Almacena claves de encriptaci贸n para proteger informaci贸n sensible.

Adicionalmente, se puede comprobar la configuraci贸n anti-phishing del navegador buscando entradas browser.safebrowsing en prefs.js, lo que indica si las funciones de safe browsing est谩n habilitadas o deshabilitadas.

To try to decrypt the master password, you can use https://github.com/unode/firefox_decrypt
Con el siguiente script y la llamada, puedes especificar un archivo de contrase帽as para realizar un ataque de fuerza bruta:

brute.sh
#!/bin/bash

#./brute.sh top-passwords.txt 2>/dev/null | grep -A2 -B2 "chrome:"
passfile=$1
while read pass; do
echo "Trying $pass"
echo "$pass" | python firefox_decrypt.py
done < $passfile

Google Chrome

Google Chrome almacena los perfiles de usuario en ubicaciones espec铆ficas seg煤n el sistema operativo:

  • Linux: ~/.config/google-chrome/
  • Windows: C:\Users\XXX\AppData\Local\Google\Chrome\User Data\
  • MacOS: /Users/$USER/Library/Application Support/Google/Chrome/

Dentro de estos directorios, la mayor铆a de los datos de usuario se encuentran en las carpetas Default/ o ChromeDefaultData/. Los siguientes archivos contienen datos importantes:

  • History: Contiene URLs, descargas y palabras clave de b煤squeda. En Windows, se puede usar ChromeHistoryView para leer el historial. La columna "Transition Type" tiene varios significados, incluyendo clics del usuario en enlaces, URLs tecleadas, env铆os de formularios y recargas de p谩gina.
  • Cookies: Almacena cookies. Para inspecci贸n, est谩 disponible ChromeCookiesView.
  • Cache: Contiene datos en cach茅. Para inspeccionarlo, los usuarios de Windows pueden utilizar ChromeCacheView.

Las aplicaciones de escritorio basadas en Electron (p. ej., Discord) tambi茅n usan Chromium Simple Cache y dejan artefactos ricos en disco. Ver:

Discord Cache Forensics

  • Bookmarks: Marcadores del usuario.
  • Web Data: Contiene el historial de formularios.
  • Favicons: Almacena los favicons de los sitios web.
  • Login Data: Incluye credenciales de inicio de sesi贸n como nombres de usuario y contrase帽as.
  • Current Session/Current Tabs: Datos sobre la sesi贸n de navegaci贸n actual y las pesta帽as abiertas.
  • Last Session/Last Tabs: Informaci贸n sobre los sitios activos durante la 煤ltima sesi贸n antes de que se cerrara Chrome.
  • Extensions: Directorios para extensiones y addons del navegador.
  • Thumbnails: Almacena miniaturas de sitios web.
  • Preferences: Un archivo con mucha informaci贸n, incluyendo configuraciones de plugins, extensiones, pop-ups, notificaciones y m谩s.
  • Browser鈥檚 built-in anti-phishing: Para comprobar si la protecci贸n anti-phishing y contra malware est谩 habilitada, ejecuta grep 'safebrowsing' ~/Library/Application Support/Google/Chrome/Default/Preferences. Busca {"enabled: true,"} en la salida.

SQLite DB Data Recovery

Como puede observarse en las secciones anteriores, tanto Chrome como Firefox usan bases de datos SQLite para almacenar los datos. Es posible recuperar entradas eliminadas usando la herramienta sqlparse o sqlparse_gui.

Internet Explorer 11

Internet Explorer 11 gestiona sus datos y metadatos en varias ubicaciones, lo que ayuda a separar la informaci贸n almacenada y sus detalles correspondientes para un acceso y gesti贸n m谩s sencilla.

Almacenamiento de metadatos

Los metadatos de Internet Explorer se almacenan en %userprofile%\Appdata\Local\Microsoft\Windows\WebCache\WebcacheVX.data (con VX siendo V01, V16, o V24). Junto a esto, el archivo V01.log puede mostrar discrepancias en los tiempos de modificaci贸n con WebcacheVX.data, lo que indica la necesidad de una reparaci贸n usando esentutl /r V01 /d. Estos metadatos, alojados en una base de datos ESE, pueden recuperarse e inspeccionarse usando herramientas como photorec y ESEDatabaseView, respectivamente. Dentro de la tabla Containers, se pueden identificar las tablas o contenedores espec铆ficos donde se almacena cada segmento de datos, incluyendo detalles de cach茅 para otras herramientas de Microsoft como Skype.

Inspecci贸n de la cach茅

La herramienta IECacheView permite inspeccionar la cach茅, requiriendo la ubicaci贸n de la carpeta de extracci贸n de datos de cach茅. Los metadatos de la cach茅 incluyen nombre de archivo, directorio, contador de accesos, URL de origen y marcas de tiempo que indican la creaci贸n, acceso, modificaci贸n y expiraci贸n del cach茅.

Gesti贸n de cookies

Las cookies pueden explorarse usando IECookiesView, con metadatos que abarcan nombres, URLs, contadores de acceso y varios detalles relacionados con tiempos. Las cookies persistentes se almacenan en %userprofile%\Appdata\Roaming\Microsoft\Windows\Cookies, mientras que las cookies de sesi贸n residen en memoria.

Detalles de descargas

Los metadatos de descargas son accesibles v铆a ESEDatabaseView, con contenedores espec铆ficos que contienen datos como URL, tipo de archivo y ubicaci贸n de descarga. Los archivos f铆sicos pueden encontrarse bajo %userprofile%\Appdata\Roaming\Microsoft\Windows\IEDownloadHistory.

Historial de navegaci贸n

Para revisar el historial de navegaci贸n, se puede usar BrowsingHistoryView, requiriendo la ubicaci贸n de los archivos de historial extra铆dos y la configuraci贸n para Internet Explorer. Los metadatos aqu铆 incluyen tiempos de modificaci贸n y acceso, junto con contadores de acceso. Los archivos de historial se ubican en %userprofile%\Appdata\Local\Microsoft\Windows\History.

URLs tecleadas

Las URLs tecleadas y sus tiempos de uso se almacenan dentro del registro en NTUSER.DAT en Software\Microsoft\InternetExplorer\TypedURLs y Software\Microsoft\InternetExplorer\TypedURLsTime, rastreando las 煤ltimas 50 URLs introducidas por el usuario y sus 煤ltimos tiempos de entrada.

Microsoft Edge

Microsoft Edge almacena datos de usuario en %userprofile%\Appdata\Local\Packages. Las rutas para varios tipos de datos son:

  • Profile Path: C:\Users\XX\AppData\Local\Packages\Microsoft.MicrosoftEdge_XXX\AC
  • History, Cookies, and Downloads: C:\Users\XX\AppData\Local\Microsoft\Windows\WebCache\WebCacheV01.dat
  • Settings, Bookmarks, and Reading List: C:\Users\XX\AppData\Local\Packages\Microsoft.MicrosoftEdge_XXX\AC\MicrosoftEdge\User\Default\DataStore\Data\nouser1\XXX\DBStore\spartan.edb
  • Cache: C:\Users\XXX\AppData\Local\Packages\Microsoft.MicrosoftEdge_XXX\AC#!XXX\MicrosoftEdge\Cache
  • Last Active Sessions: C:\Users\XX\AppData\Local\Packages\Microsoft.MicrosoftEdge_XXX\AC\MicrosoftEdge\User\Default\Recovery\Active

Safari

Los datos de Safari se almacenan en /Users/$User/Library/Safari. Archivos clave incluyen:

  • History.db: Contiene las tablas history_visits y history_items con URLs y marcas de tiempo de visitas. Usa sqlite3 para consultar.
  • Downloads.plist: Informaci贸n sobre archivos descargados.
  • Bookmarks.plist: Almacena URLs marcadas como favoritos.
  • TopSites.plist: Sitios m谩s visitados.
  • Extensions.plist: Lista de extensiones del navegador Safari. Usa plutil o pluginkit para recuperar.
  • UserNotificationPermissions.plist: Dominios permitidos para enviar notificaciones push. Usa plutil para parsear.
  • LastSession.plist: Pesta帽as de la 煤ltima sesi贸n. Usa plutil para parsear.
  • Browser鈥檚 built-in anti-phishing: Compru茅balo usando defaults read com.apple.Safari WarnAboutFraudulentWebsites. Una respuesta de 1 indica que la funci贸n est谩 activa.

Opera

Los datos de Opera residen en /Users/$USER/Library/Application Support/com.operasoftware.Opera y comparten el formato de Chrome para historial y descargas.

  • Browser鈥檚 built-in anti-phishing: Verif铆calo comprobando si fraud_protection_enabled en el archivo Preferences est谩 establecido en true usando grep.

Estas rutas y comandos son cruciales para acceder y entender los datos de navegaci贸n almacenados por los diferentes navegadores web.

References

tip

Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprende y practica Hacking en Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Apoya a HackTricks