chrome 密码泄漏了， 才知道用 chrome 保存密码等于裸奔

[juejinloop]

前几天电脑中毒了，虽然第一时间重装系统，但是隔天依然收到一大堆网站登录的 gamil 验证邮件，谷歌帐号也提示风险操作。密码管理一直用的 chrome 自带的，考虑是 chrome 保存的密码泄漏，于是连夜改了所有帐号密码，能二验的全部添加二验。然而第二天早上还是发现一台小鸡被人在 vps panel 里重装了 windows 系统，还好有数据备份，然后又改所有小鸡的 ssh 登陆密码。因为之前谷歌帐号开了二次验证，还好谷歌帐号没被登录。吃了这个惨痛的教训，我开始研究 chrome password manger 的安全问题，才发现 chrome 保存密码等于裸奔。

一篇解释如何获取 chrome 保存的密码的文章： https://ohyicong.medium.com/how-to-hack-chrome-password-with-python-1bedc167be3d

如果用 chrome 自带的密码管理保存密码，任何一个运行在你电脑上的程序，不需要管理员权限，都能解密并读取本地保存的密码。因为 chrome 的密码保存在本地加密的 sqlite 中，同时加解密密钥也明文保存在本地文件里，任何程序都能读取。

加密 sqlite 文件路径: C:\Users<PC Name>\AppData\Local\Google\Chrome\User Data\Default\Login Data

解密密钥文件路径 C:\Users<PC Name>\AppData\Local\Google\Chrome\User Data\Local State

额外说明一点是解密需要用到 win32 提供的 API CryptUnprotectData 函数，这个函数保证解密是和加密在同一台电脑（用户）进行的，所以如果直接复制硬盘的浏览器数据到其他电脑上是解密不了的，但是只要你的 Windows 登录了，任何程序只要想都可以解密 chrome 的密码然后上传。

现在考虑转 bitwarden 中。

[void59468]

根本原因是 windows 和 linux 都没有进程级别的文件读取权限控制，它们的权限控制都是基于用户身份的

[totoro625]

@3dwelcome #153 病毒是个大帽子，谁都能往上扣
在这里 OP 只是举了一个病毒的例子，实际上流氓软件都可以是病毒，只是毒性较弱，没展现他更流氓的一面

大家并不担心能被杀毒软件识别的病毒读取 Chrome
而是担心那些白名单内的流氓软件读取你的 Chrome ，不光是常用软件，一些不常用的软件其实也在白名单内（甚至病毒）
至于腾讯系是已知的最爱读取浏览器历史记录的流氓软件了，他能直接读取你的密码，Chrome 就没锁门，他想读就能读，但是迫于商业软件的信任问题，目前设计上没读

怕的就是会有某个接口，某天想看指定人的隐私信息，点击一下让程序激活扫描你数据的功能。这个时候直接读 Chrome 又快又好，要是扫描你的磁盘，看你的文档，时间太长，数据量太大了

[daolanfler]

看了这么多，我打算买一个小本本，专门来记密码。小本本上也不写明文密码，简单加密一下

[lcy630409]

@daolanfler
不行，如果强盗直接闯入你家 拿枪指着你的头 让你解密，不还是明文

[vone]

https://support.microsoft.com/en-us/topic/additional-privacy-for-your-saved-passwords-31dbd670-e314-4901-a546-6f302548502e

https://support.microsoft.com/en-us/topic/keep-your-saved-passwords-private-with-custom-primary-password-84481be0-d89e-4cee-a2d9-5c0e692a6002

[ws52001]

早就 Bitwarden 自建了，挺好用的。

[wolfie]

现在还分 密文密钥了，我记得几年前就是一个明文文件。

[Unclev21x]

加密 sqlite 文件路径: C:\Users<PC Name>\AppData\Local\Google\Chrome\User Data\Default\Login Data

解密密钥文件路径 C:\Users<PC Name>\AppData\Local\Google\Chrome\User Data\Local State

没有人验证以下这个嘛？

Version 104.0.5112.81 (Official Build) (64-bit)


没有看到这 2 个文件夹。

[clf]

印象里所有的密码管理软件都支持本机 windows hello 验证。这应该和 chrome 验证的方式是一致的？

[Unclev21x]

@juejinloop #8

[Unclev21x]

@juejinloop #8

没找到这 2 个文件夹啊。
Version 104.0.5112.81 (Official Build) (64-bit)

[YR1044]

建议使用 keepass ，非对称加密，防键盘记录器，防剪贴板监听，防读内存，免费

[totoro625]

@Unclev21x #168
是文件不是文件夹，版本 104.0.5112.81 （正式版本） （ 64 位）有的

你是魔改版的 Chrome 吗，我用 everything 搜索了一下，电脑上 4 个基于 Chrome/Chromium 的浏览器都有这两个文件

你可以用 https://github.com/moonD4rk/HackBrowserData/releases/ 无需管理员权限直接导出你电脑上不设防的浏览器密码

[cshzgz]

自己電腦倒是沒有其他人使用，但是梯子可能是最大泄露的原因，用過共用的節點。

[Danfi]

针对这种问题我觉得看个人使用习惯，我是把密码分为重要和非重要两部分，其中重要的其实没多少，自己记住或者其他方法，而绝大部分都是不重要的，不重要的我选择相对方便的，用 Chrome 也没什么问题

[yulgang]

其实不只 Chrome ，用其他浏览器的密码也一样。。。参考 nirsoft_package 里面的浏览器密码查看工具。

建议楼主装个正经的杀毒软件，不运行来源不可信的程序😁

[yy77]

chrome 至少应该为想要的人加一个 master 密码，要求每次填写都必须手工输入。如果觉得麻烦且不在意的可以关掉。

[zsxeee]

其实上面有人的链接已经讨论过了，如果你没有给你的硬盘加 BitLocker 之类的，那甚至物理层面上有人用个 PE 就可以把密码拷走。

而根据所谓 Chrome 的安全负责人的说法，是不想提供“虚假的安全感”，用户需要知道有了电脑密码就拥有了一切权限。这个说法我倒是赞同，但浏览器也没有明确说明风险，而是依赖用户本身的安全意识，我相信大部分用户可能也就在其他浏览器迁移导入密码时才能发现端倪。而且除了 OEM 自带，也不会有多少用户会开 BitLocker 吧？更何况大部分用户装的 Windows 家庭版是没有 BitLocker 的。

上面“用户”的定义可能有些模糊，可以尝试带入大学生、毕业生这类刚装机的，而又不至于不关注安全的（宿舍属于半公共环境）。

[hush3]

卧槽终于发现有人和我一样了。我是随便找了个网站下了个 XX 皮肤盒子，然后打开发现是个下载器，就给删了。电脑有装火绒，可能没报毒也可能我给放行了不记得了。。。 第二天开始发现我的邮箱发来好多异地登录、重置密码等邮件，感觉不对劲。chrome 浏览器直接给我账户注销了说电脑存在不安全隐患，无法登陆。后来我重做了系统，受到的影响有 twitter ，youtube 出现了许多外国语言视频的观看记录，telegram 被盗用 spam 导致账户被禁言，等我登录上时发现许多对话记录，至今未解开等等。

[loolac]

中毒使第一道防线崩溃。后面就有 n 种方法获取你的密码了。