chrome 密码泄漏了， 才知道用 chrome 保存密码等于裸奔

[juejinloop]

前几天电脑中毒了，虽然第一时间重装系统，但是隔天依然收到一大堆网站登录的 gamil 验证邮件，谷歌帐号也提示风险操作。密码管理一直用的 chrome 自带的，考虑是 chrome 保存的密码泄漏，于是连夜改了所有帐号密码，能二验的全部添加二验。然而第二天早上还是发现一台小鸡被人在 vps panel 里重装了 windows 系统，还好有数据备份，然后又改所有小鸡的 ssh 登陆密码。因为之前谷歌帐号开了二次验证，还好谷歌帐号没被登录。吃了这个惨痛的教训，我开始研究 chrome password manger 的安全问题，才发现 chrome 保存密码等于裸奔。

一篇解释如何获取 chrome 保存的密码的文章： https://ohyicong.medium.com/how-to-hack-chrome-password-with-python-1bedc167be3d

如果用 chrome 自带的密码管理保存密码，任何一个运行在你电脑上的程序，不需要管理员权限，都能解密并读取本地保存的密码。因为 chrome 的密码保存在本地加密的 sqlite 中，同时加解密密钥也明文保存在本地文件里，任何程序都能读取。

加密 sqlite 文件路径: C:\Users<PC Name>\AppData\Local\Google\Chrome\User Data\Default\Login Data

解密密钥文件路径 C:\Users<PC Name>\AppData\Local\Google\Chrome\User Data\Local State

额外说明一点是解密需要用到 win32 提供的 API CryptUnprotectData 函数，这个函数保证解密是和加密在同一台电脑（用户）进行的，所以如果直接复制硬盘的浏览器数据到其他电脑上是解密不了的，但是只要你的 Windows 登录了，任何程序只要想都可以解密 chrome 的密码然后上传。

现在考虑转 bitwarden 中。

[QurakJaker]

哈哈，我早就发现了，很早之前就把自己 Chrome 上 30 多个密码一个个删掉。现在的方案是，每月 12 元的 StrongBox 基于 Keepass ，加上 dropbox ，全平台同步。

[paradoxs]

@ysc3839 如果你的软件是从 AppStore 里面下的，APP 就只能看到自己的根目录以及沙箱容器目录。

[laydown]

我懂楼主，早知道 chrome 是这个德性，所以，我从来不在 chrome 上保存密码或者是表单数据。chrome 这个比放在记事本上明文都不安全，别人入侵你的电脑，如果你保存在记事本上，他们还得找一下是哪个记事本那段内容是帐号和密码的内容，然而如果是 chrome ，简直就是专为入侵者服务，可心无杂念直捣黄龙，上来就奔向 chrome 这里找帐号密码，还能自动登录。

[Eiden]

这么不安全的话, chrome 装机量这么大, 为啥没有发生大规模泄露事件呢? 一定是黑客们觉得没挑战性是吧

[totoro625]

@Eiden #124 还不得多亏了 360 带来的免费杀毒软件，而且偷你一堆密码也没用，难道还要挨个登录上去看看有没有价值？
例如：twitter 被盗然后转发广告，赚个一条五毛钱？不如直接锁了你的电脑勒索点钱

低端的：
这种盗取密码更容易发生在身边，你的同事，U 盘拷贝了一个网上免费下载的 HackBrowserData exe 文件过来，在你去卫生间的时候插入电脑，打开杀毒软件点击隔离区，点击恢复并添加到白名单，双击一下，获取了你全部的账户密码 cookie 表单数据，拔掉 U 盘走了。整个过程不会超过 1 分钟
然后他回到自己电脑上，用你的 cookie 欣赏你的百度网盘照片，看看你的论坛发言，找到你的小号记录

高级一点：
你的同事发来一个生日快乐.exe ，里面打包了 HackBrowserData 源码，搭配一个简单的上传小程序，一定要你打开看一下，在你打开的同时你的账户密码 cookie 表单数据全部被他获取，因为他花了点钱给软件加了壳，杀毒软件都以为是正规大公司的软件都没拦截，于是你在你同事面前就曝光了一切

终极一点：
/t/632958
/t/848050
他不知道你的所有账户？
至少也要扫描浏览器历史记录

[lightcreater]

给我下吓一跳
感觉用火绒把 C:\Users\123\AppData\Local\Google\Chrome\User Data\Default 目录给加进去了

[microxiaoxiao]

楼主 不要在这瞎吹牛逼，我刚刚按照你的那篇文章看了，早没有 encrypt 这个字段了。你确定是 chrome 导致的？还是你自己用了一个很旧的版本。

[MarioLuo]

才从 lastpass 切换到 google chrome 的密码管理器,如果真是如主题所说的那样，又得切回去了

[microxiaoxiao]

我敢打保票，哪个哥们写的文章不可行(104.0.5112.81)，他还写了一个简单的 Python 程序。在搜索引擎里面搜索 crack Chrome password ，能找到最新的文章就是这个。你这是现画靶在射箭的验证逻辑吧。

[SekiBetu]

https://github.com/cckuailong/HackChrome

[byte10]

会不会是没有安装 360 呢？，一般有杀毒软件都没啥问题，很多程序员用 windows 就不爱安装杀毒软件，很是奇怪

[huntley]

我早就发现这个安全隐患了，还在 v 站发过帖子，https://www.v2ex.com/t/855291#reply20 。还好我发现问题后及时转移了密码，以后不要用任何浏览器管理密码。

[SekiBetu]

最好的办法是使用微软的无密码账户，用你的手机的动态码或者短信来登录账号

[yanyuechuixue]

不懂请教一下，macos 存在这个问题么？

[Sh3r1ock]

有没有什么把 chrome 里的密码批量导入 bitwarden 的方案

[huieh]

标记下

[ssdde]

楼主如果 chrome 真像你说的这么弱智，Google 公司为什么不倒闭解散算了

[Masterlxj]

我用的 enpass

[Admin8012]

很简单刘慈欣早就告诉我们了：把字刻在石头上

[Nitroethane]

前段时间思科被黑客入侵了。原因就是一个员工的电脑被搞了，这位员工刚好把 vpn 的密码保存在 Chrome 里。当然 vpn 还有 mfa ，黑客继续用社工绕过了 mfa ，最终搞到公司内网了。前两天思科官方发文章了。有兴趣可以找找看