解锁 Edge 密码宝库：内网取证与横向渗透的技术拆解
💡
原文中文，约6400字，阅读约需16分钟。
📝
内容提要
本文分析了Microsoft Edge浏览器的凭据存储机制及其安全性。Edge通过DPAPI加密用户密码和敏感数据，但攻击者可通过内存提取和会话劫持解密这些凭据。文章强调监控DPAPI调用和内存访问的重要性，以防止凭据泄露。
🎯
关键要点
- Microsoft Edge浏览器使用DPAPI加密用户密码和敏感数据，但存在被攻击者解密的风险。
- 攻击者可通过内存提取、DPAPI主密钥窃取或会话劫持来解密凭据。
- 监控DPAPI调用和内存访问是防止凭据泄露的重要措施。
- Edge的凭据存储机制依赖于Windows的DPAPI和OSCrypt机制。
- 内存提取是获取明文凭据的高效方法，优先级高于磁盘文件采集。
- 取证流程应包括书面授权、证据链记录和优先级设置。
- 分析要点包括内存分析、磁盘分析和时间线构建。
- 红队演练中，浏览器凭据是内网渗透的高价值目标。
- 蓝队应通过系统硬化、检测规则和应急响应来防御凭据窃取。
- 常用的取证与分析工具包括winpmem、Volatility和Mimikatz。
- 企业应定期复现凭据窃取场景，优化安全规则，推广密码管理器。
➡️
