项目简介
作为红队成员,检索剪贴板数据以获取敏感信息(例如密码)是常见的做法。然而,传统上只能提取最新的25条剪贴板数据,如SharpClipHistory项目。
Windows10/11从1809版本开始引入了一项称为剪贴板历史记录的功能,允许用户通过按 来访问最近复制或剪切的25个项目Windows logo key V。负责管理此功能的服务称为cbdhsvc,它通过专用进程svchost.exe运行。
该工具ClipboardHistoryThief专门用于提取剪贴板历史记录,超越了仅检索25个最新项目的限制。它通过检查进程内存并利用模式搜索来识别存储在堆中的剪贴板历史数据来实现这一点,从而允许从进程中提取所有可用的剪贴板历史数据。
尽管在客户端环境中启用剪贴板历史记录可能不是常见做法,但此工具提供了通过注册表编辑启用或禁用剪贴板历史记录功能的选项,而无需重新启动服务。启用后,只需等待用户剪贴板活动,然后再次运行该工具即可从进程内存中提取所有可用的剪贴板历史记录。
剪贴板历史记录选项注册表及键值:
代码语言:javascript复制HKCUSoftwareMicrosoftClipboard
EnableClipboardHistory(1启用,0禁用)
工具用法
代码语言:javascript复制Usage: ClipboardHistoryThief.exe [command]
Command Description
-------- -----------
dump [file] Dumps the content of the clipboard history to console/file.
enable Enables the clipboard history feature.
disable Disables the clipboard history feature.
check Checks if clipboard history feature is enabled.
help Shows this help menu.
转储所有剪贴板历史记录
代码语言:javascript复制ClipboardHistoryThief.exe dump
启用剪贴板历史记录功能
代码语言:javascript复制ClipboardHistoryThief.exe enable