&

基于谷歌內(nèi)核（Chromium）瀏覽器Cookie值的讀取工具

當(dāng)前位置：點晴教程→知識管理交流 →『技術(shù)文檔交流』

freeflydom

2025年6月12日 11:57 本文熱度 301

一、基于谷歌內(nèi)核瀏覽器的cookie文件保存位置

以目前流行的三款基于Chrominum內(nèi)核的瀏覽器為例，Cookie文件保存在當(dāng)前用戶的AppData目錄下，注意該文件沒有擴(kuò)展名。

1、谷歌的Chrome
C:\Users\當(dāng)前用戶\AppData\Local\Google\Chrome\User Data\Default\Network\cookies

2、奇虎的360se
C:\Users\當(dāng)前用戶\AppData\Roaming\360se6\User Data\Default\Network\cookies

3、微軟的Edge
C:\Users\當(dāng)前用戶\AppData\Local\Microsoft\Edge\User Data\Default\Network\cookies

注意360的保存位置略有不同。

二、Cookie文件的格式和加密方式

該Cookie文件是sqlite格式的數(shù)據(jù)庫文件，可以用sqlite數(shù)據(jù)庫瀏覽工具打開查看，如下圖：

打開觀察發(fā)現(xiàn)cookie值是被加密的，采用的加密算法是AES，確切的說是GCM算法。要進(jìn)行解密則需要知道秘鑰key和向量iv。那么key和iv保存在哪？

三、秘鑰key在哪

秘鑰文件在“Local State”文件中，注意這是一個json文件，不是目錄，所在位置在Cookies文件的上兩層目錄中。對應(yīng)上述三款瀏覽器分別如下：

C:\Users\當(dāng)前用戶\AppData\Local\Google\Chrome\User Data\Local State
C:\Users\當(dāng)前用戶\AppData\Roaming\360se6\User Data\Local State
C:\Users\當(dāng)前用戶\AppData\Local\Microsoft\Edge\User Data\Local State

該文件是一個json文件，其中的“os_crypt/encrypted_key”鍵值是以base64的編碼保存的加密后的key。base64解碼后是一個二進(jìn)制數(shù)據(jù)塊。前5個字符是"DPAPI"，是加密算法標(biāo)記，可以忽略，后面才是被加密后的key。

DPAPI（Data Protection Application Programming Programming Interface）是Windows操作系統(tǒng)內(nèi)置的數(shù)據(jù)加密接口?，主要用于保護(hù)敏感信息（如密鑰、用戶憑據(jù)等）。這是windows特有的加密算法，不在openssl算法庫中，只能使用windows自帶的API函數(shù)CryptUnprotectData對加密后的key進(jìn)行解密，其它語言應(yīng)該有對API的封裝或?qū)崿F(xiàn)。

為何要采用DPAPI的方式對key進(jìn)行加密呢？

它的好處是，只有在本機(jī)調(diào)用CryptUnprotectData函數(shù)對本機(jī)的key進(jìn)行解密才能成功，如果將“Local State”拷貝到其它機(jī)器進(jìn)行解密則會失敗。也就是說DPAPI在加密的過程中加入了當(dāng)前用戶的“身份”和“機(jī)器”信息，解密時會進(jìn)行校驗。這種設(shè)計就確保了你無法通過“偷竊”的方式對key值進(jìn)行解密（比如拷貝到自己的機(jī)器上慢慢研究），只能在“案發(fā)現(xiàn)場”進(jìn)行解密，從而在某種程度上保護(hù)了cookie的安全。

四、向量iv在哪

iv就在cookie加密的數(shù)據(jù)中，cookies數(shù)據(jù)庫文件的“encryped_value”字段中。其編碼格式為：3字節(jié)的標(biāo)志符+12字節(jié)iv+真正的AES加密數(shù)據(jù)。

該值的前三個字符是“v10”，可忽略，從第3個字符（以0為起始值）開始的后12個字節(jié)是iv。AES加密數(shù)據(jù)從第15個字節(jié)開始到最后。

到此為止我們已經(jīng)得到了key、iv以及待解密的AES數(shù)據(jù)。接下來就可以調(diào)用AES解密函數(shù)對加密數(shù)據(jù)進(jìn)行解密了。

五、CookieReader工具介紹

由于谷歌的Chromium內(nèi)核在運行時會以“完全獨占”的方式（其它程序無法共享讀取）打開cookies數(shù)據(jù)庫文件，因此使用該工具前要關(guān)閉對應(yīng)的瀏覽器，否則將無法讀取到該瀏覽器的cookie數(shù)據(jù)。當(dāng)然也可以將cookies文件拷貝出來進(jìn)行讀取。即使以這種方式也要先關(guān)閉對應(yīng)的瀏覽器，否則拷貝出來的cookies文件是空文件。強烈建議拷貝出來后進(jìn)行讀取。

同樣，在該工具讀取Cookies文件時，對應(yīng)的瀏覽器也無法正常讀取到Cookie數(shù)據(jù)，因為無法獨占打開數(shù)據(jù)庫了。點擊下載CookieReader工具