远程管理神器 MobaXterm 的密码存储解析与解密工具

一、背景介绍

MobaXterm 是一款备受 Windows 用户青睐的多功能终端工具，广泛用于远程管理和网络调试。它集成了 SSH 客户端、X11 服务器、网络工具、Unix 命令等多种功能，非常适合服务器运维、开发和调试工作。

然而，MobaXterm 同时具备密码存储功能，这也使其成为潜在的安全隐患。今天我们将解析其密码存储机制，并介绍一款名为 MobaXtermDecryptor 的解密工具，展示如何提取和解密其中的敏感数据。

二、MobaXterm 数据存储机制解析

MobaXterm 的用户数据存储于注册表和配置文件中，其具体位置和内容如下：

1. 注册表存储路径

位于 HKEY_CURRENT_USERSoftwareMobatekMobaXterm 下的条目保存了以下信息：

• [Misc]
  ：会话信息，如用户名和计算机名。
• [Credentials]
  ：存储明文用户凭据。
• [Passwords]
   和 [Sesspass]：存储加密的密码信息。

2. 配置文件示例

部分用户使用便携版 MobaXterm 时，其数据会存储在 MobaXterm.ini 文件中，内容示例如下：

这些信息对于攻击者来说极具价值，而加密数据通常通过 Windows 的 DPAPI 解密。

三、MobaXtermDecryptor 工具的使用

MobaXtermDecryptor 是一款专门用于解密 MobaXterm 凭据的工具。它支持从注册表和配置文件中提取加密信息，并利用 DPAPI 完成解密操作。

1. 安装版的解密方法

运行工具时无需额外参数，自动从注册表提取数据：

PS C:> .MobaXtermDecryptor.exe --debug

输出示例：

2. 便携版的解密方法

需要指定 MobaXterm.ini 文件的路径：

PS C:> .MobaXtermDecryptor.exe mobaxterm --debug c:UsersAdministratorDocumentsMobaXtermMobaXterm.ini

注意： 解密操作必须在凭据存储的目标机器上进行，因为其依赖于 Windows 的 DPAPI。

四、使用工具时的注意事项

• 合法性：
   工具仅限合法授权使用，例如密码恢复和内部审计，不可用于非法用途。
• 便携版的特殊性：
   便携版的配置文件路径需手动确认。
• 安全建议：
   MobaXterm 用户应加强安全意识，避免在公共设备上存储敏感凭据，或启用更强的密码加密机制。

五、工具获取

工具开源并托管在 GitHub 上，感兴趣的朋友可以访问以下链接获取：
https://github.com/h0ny/MobaXtermDecryptor