.NET 一款获取DPAPI用户凭据的工具

01阅读须知

此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。本文所提供的工具仅用于学习，禁止用于其他方面

02基本介绍

Sharp4DPAPI 是一款功能强大的本地信息收集工具，专用于从 Windows 系统中提取和解析由 DPAPI 保护的凭据。

03使用方法

Sharp4DPAPI 支持获取当前系统上所有可通过DPAPI（数据保护API）访问的证书，使用certificates子命令并附带'/showall'参数，以列出所有可访问的证书。基本用法如下所示。

.\Sharp4DPAPI.exe certificates /showall
.\Sharp4DPAPI.exe certificates /machine

使用'certificates'子命令并附带'/machine'参数，以列出机器级别上所有可访问的证书。

04编码实现

上述certificates命令在Sharp4DPAPI中通过一个名为 Certificate 的类实现的功能，用于遍历用户目录并提取和解析由 DPAPI 保护的证书。具体代码如下所示。

bool flag3 = Helpers.IsHighIntegrity() || (!string.IsNullOrEmpty(computerName) && Helpers.TestRemote(computerName));
   string[] userDirs;
   if (flag3)
   {
    string userFolder = (!string.IsNullOrEmpty(computerName)) ? ("\\\\" + computerName + "\\C$\\Users\\") : (Environment.GetEnvironmentVariable("SystemDrive") + "\\Users\\");
    userDirs = Directory.GetDirectories(userFolder);
   }
   else
   {
    userDirs = new string[]
    {
     Environment.GetEnvironmentVariable("USERPROFILE")
    };
   }
   foreach (string dir in userDirs)
   {
    string[] parts = dir.Split(new char[]
    {
     '\\'
    });
    string userName = parts[parts.Length - 1];
    bool flag4 = dir.EndsWith("Public") || dir.EndsWith("Default") || dir.EndsWith("Default User") || dir.EndsWith("All Users");
    if (!flag4)
    {
     string userCapiKeysBasePath = dir + "\\AppData\\Roaming\\Microsoft\\Crypto\\RSA\\";
     bool flag5 = !Directory.Exists(userCapiKeysBasePath);
     if (!flag5)
     {
      string[] directories = Directory.GetDirectories(userCapiKeysBasePath);
      foreach (string directory in directories)
      {
       Triage.TriageCertFolder(directory, MasterKeys, false, showall, unprotect);
      }
      string userCngKeysPath = dir + "\\AppData\\Roaming\\Microsoft\\Crypto\\Keys\\";
      bool flag6 = !Directory.Exists(userCngKeysPath);
      if (!flag6)
      {
       Triage.TriageCertFolder(userCngKeysPath, MasterKeys, true, showall, unprotect);
      }
     }
    }
   }

工具对每个用户目录进行遍历，跳过 Public、Default、Default User 和 All Users 目录，构造用户的 CAPI（Cryptographic API）密钥路径，并检查该路径是否存在遍历该路径下的所有子目录，并调用 Triage.TriageCertFolder 方法提取和解析证书。该方法 TriageUserCerts 的主要功能是遍历用户目录，提取和解析由 DPAPI 保护的证书。通过处理不同的命令行参数，它可以在本地或远程计算机上高效地进行操作。