红队之剪贴板历史记录提取工具

潇湘信安

发布于 2023-12-04 19:09:55

34300

代码可运行

文章被收录于专栏：潇湘信安潇湘信安

运行总次数：0

代码可运行

项目简介

作为红队成员，检索剪贴板数据以获取敏感信息（例如密码）是常见的做法。然而，传统上只能提取最新的25条剪贴板数据，如SharpClipHistory项目。

Windows10/11从1809版本开始引入了一项称为剪贴板历史记录的功能，允许用户通过按来访问最近复制或剪切的25个项目Windows logo key + V。负责管理此功能的服务称为cbdhsvc，它通过专用进程svchost.exe运行。

该工具ClipboardHistoryThief专门用于提取剪贴板历史记录，超越了仅检索25个最新项目的限制。它通过检查进程内存并利用模式搜索来识别存储在堆中的剪贴板历史数据来实现这一点，从而允许从进程中提取所有可用的剪贴板历史数据。

尽管在客户端环境中启用剪贴板历史记录可能不是常见做法，但此工具提供了通过注册表编辑启用或禁用剪贴板历史记录功能的选项，而无需重新启动服务。启用后，只需等待用户剪贴板活动，然后再次运行该工具即可从进程内存中提取所有可用的剪贴板历史记录。

剪贴板历史记录选项注册表及键值：

HKCU\Software\Microsoft\Clipboard
EnableClipboardHistory（1启用，0禁用）

工具用法

Usage: ClipboardHistoryThief.exe [command]

Command         Description
--------        -----------
dump [file]     Dumps the content of the clipboard history to console/file.
enable          Enables the clipboard history feature.
disable         Disables the clipboard history feature.
check           Checks if clipboard history feature is enabled.
help            Shows this help menu.