红队之剪贴板历史记录提取工具
项目简介作为红队成员，检索剪贴板数据以获取敏感信息（例如密码）是常见的做法。然而，传统上只能提取最新的25条剪贴板数据，如SharpClipHistory项目。Windows10/11从1809版本开 2023-12-5 10:12:2 Author: 黑白之道(查看原文) 阅读量:17 收藏

项目简介

作为红队成员，检索剪贴板数据以获取敏感信息（例如密码）是常见的做法。然而，传统上只能提取最新的25条剪贴板数据，如SharpClipHistory项目。

Windows10/11从1809版本开始引入了一项称为剪贴板历史记录的功能，允许用户通过按 来访问最近复制或剪切的25个项目Windows logo key + V。负责管理此功能的服务称为cbdhsvc，它通过专用进程svchost.exe运行。

该工具ClipboardHistoryThief专门用于提取剪贴板历史记录，超越了仅检索25个最新项目的限制。它通过检查进程内存并利用模式搜索来识别存储在堆中的剪贴板历史数据来实现这一点，从而允许从进程中提取所有可用的剪贴板历史数据。

尽管在客户端环境中启用剪贴板历史记录可能不是常见做法，但此工具提供了通过注册表编辑启用或禁用剪贴板历史记录功能的选项，而无需重新启动服务。启用后，只需等待用户剪贴板活动，然后再次运行该工具即可从进程内存中提取所有可用的剪贴板历史记录。

剪贴板历史记录选项注册表及键值：

HKCU\Software\Microsoft\ClipboardEnableClipboardHistory（1启用，0禁用）

工具用法

Usage: ClipboardHistoryThief.exe [command]
Command         Description--------        -----------dump [file]     Dumps the content of the clipboard history to console/file.enable          Enables the clipboard history feature.disable         Disables the clipboard history feature.check           Checks if clipboard history feature is enabled.help            Shows this help menu.
转储所有剪贴板历史记录
ClipboardHistoryThief.exe dump
启用剪贴板历史记录功能
ClipboardHistoryThief.exe enable

下载地址

https://github.com/netero1010/ClipboardHistoryThief

https://github.com/FSecureLABS/SharpClipHistory/tree/651e33d9166209a47a3fb88b9f21deef244cb668

文章来源：潇湘信安

黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！

如侵权请私聊我们删文

END


文章来源: http://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650583217&idx=4&sn=7194f3e8037742fd9a7f7ac188088ca9&chksm=83bdd555b4ca5c43a037f4e4209d7b621b26c9117b19a51820ac6cc0fb02d069919c64297a17&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh