Chrome Forensic - CVE-2024-0044 安卓浏览器取证分析工具

# 这仅仅是示意工具的内部工作流程，用户通常只需运行主脚本

# 1. 自动扫描当前目录下的所有Chrome数据库文件
found_dbs = find_database_files() 
print(f"找到数据库: {found_dbs}")

# 2. 解析History数据库
history_df = parse_history(found_dbs.get('History'))

# 3. 根据关键词标记可疑记录
suspicious_df = flag_suspicious_urls(history_df, SUSPICIOUS_KEYWORDS)

# 4. 将所有数据写入Excel报告
with pd.ExcelWriter('result_chrome_forensic.xlsx') as writer:
    history_df.to_excel(writer, sheet_name='Browsing History', index=False)
    suspicious_df.to_excel(writer, sheet_name='ALERTS - Suspicious', index=False)
    # ... 写入其他数据表

# === CORE: 数据库自动发现器 ===
def find_database_files():
    """
    自动在当目录及所有子目录中搜索Chrome的数据库文件。
    例如：在模拟的安卓数据分区内查找 data/data/com.android.chrome/...
    """
    found_files = {}
    print_status("正在扫描目录，查找Chrome数据库...", "INFO")
    
    for root, dirs, files in os.walk("."):
        for key, target_name in TARGET_DB_NAMES.items():
            if target_name in files:
                # 构建文件的完整路径
                full_path = os.path.join(root, target_name)
                # 简单策略：优先选择包含'Default'路径的配置文件，否则使用第一个找到的
                if key not in found_files or 'Default' in root:
                    found_files[key] = full_path
                    print_status(f"找到 {key} 数据库: {full_path}", "SUCCESS")
    return found_files

# === CORE: 可疑URL标记器 ===
# 全局定义的关键词库
SUSPICIOUS_KEYWORDS = [
    'hack', 'admin', 'login', 'password', 'tor', 'onion', 
    'shell', 'root', 'porn', 'bokep', 'bank', 'transfer', 
    'weapon', 'senjata', 'narkoba', 'drug', 'wa.me', 't.me'
]

def flag_suspicious_urls(history_df):
    """
    基于预定义的关键词列表，自动标记历史记录中的可疑URL。
    
    Args:
        history_df (pd.DataFrame): 包含 'url' 列的浏览历史DataFrame。
    
    Returns:
        pd.DataFrame: 仅包含被标记为可疑的URL的记录。
    """
    if history_df is None or history_df.empty:
        return pd.DataFrame()
    
    suspicious_records = []
    for index, row in history_df.iterrows():
        url = row.get('url', '')
        # 检查URL中是否包含任何可疑关键词
        if any(keyword in url.lower() for keyword in SUSPICIOUS_KEYWORDS):
            suspicious_records.append(row)
    
    return pd.DataFrame(suspicious_records)

# === CORE: 彩色控制台输出 ===
from colorama import init, Fore, Style
init(autoreset=True)

def print_status(msg, status='INFO'):
    """
    根据状态类型，打印带有颜色前缀的状态消息。
    
    Args:
        msg (str): 要打印的消息内容。
        status (str): 消息类型 ('INFO', 'SUCCESS', 'WARN', 'ERROR')。
    """
    if status == 'INFO':
        print(f"{Fore.CYAN}[*] {msg}")
    elif status == 'SUCCESS':
        print(f"{Fore.GREEN}[+] {msg}")
    elif status == 'WARN':
        print(f"{Fore.YELLOW}[!] {msg}")
    elif status == 'ERROR':
        print(f"{Fore.RED}[-] {msg}")
```FINISHED