مجموعة أدوات إخفاء البيانات (Steganography Toolkit)

هذا المشروع هو صورة Docker مفيدة لحل تحديات إخفاء البيانات (Steganography) مثل تلك الموجودة في منصات CTF مثل hackthebox.eu. تأتي الصورة مثبتة مسبقاً مع العديد من الأدوات الشائعة (انظر القائمة أدناه) والعديد من البرامج النصية للفحص التي يمكنك استخدامها للتحقق من الأمور البسيطة (على سبيل المثال، قم بتشغيل check_jpg.sh image.jpg للحصول على تقرير لملف JPG).

الاستخدام

أولاً تأكد من تثبيت Docker (كيفية التثبيت). ثم يمكنك استخدام البرامج النصية bin/build.sh و bin/run.sh في هذا المستودع لبناء الصورة وتشغيل الحاوية. سيتم إسقاطك في قشرة bash داخل الحاوية. سيكون لديك مجلد data مُركب، حيث يمكنك وضع الملفات المراد تحليلها.

إذا لم تستخدم البرامج النصية، اتبع هذه الخطوات:

1. قم ببناء الصورة (docker build -t <image_name> .) أو سحبها من Docker hub (docker pull dominicbreuker/stego-toolkit)
2. ابدأ حاوية مع تثبيت ملفاتك إلى المجلد /data (docker run -it <image_name> -v /local/folder/with/data:/data /bin/bash)
3. استخدم أدوات سطر الأوامر وبرامج الفحص على ملفاتك: على سبيل المثال، قم بتشغيل check_jpg.sh image.jpg لإنشاء تقرير سريع، أو قم بتشغيل brute_jpg.sh image.jpg wordlist.txt لمحاولة استخراج البيانات المخفية باستخدام أدوات وكلمات مرور مختلفة
4. إذا كنت ترغب في تشغيل أدوات واجهة المستخدم الرسومية، استخدم إحدى هاتين الطريقتين:

• قم بتشغيل start_ssh.sh واتصل بالحاوية مع إعادة توجيه X11
• قم بتشغيل start_vnc.sh واتصل بسطح المكتب للحاوية عبر المتصفح

اطلع على الأقسام التالية لمزيد من المعلومات:

• ما هي الأدوات المثبتة؟ اذهب هنا
• ما هي البرامج النصية التي يمكنني تشغيلها لفحص الملفات بسرعة تلقائياً أو كسرها بالقوة الغاشمة؟ اذهب هنا
• كيف يمكنني التجربة مع أمثلة مختلفة لإخفاء البيانات لمعرفة ما إذا كان بإمكاني كسرها؟ اذهب هنا
• كيف يمكنني تشغيل أدوات واجهة المستخدم الرسومية داخل الحاوية؟ اذهب هنا

تجربة توضيحية

ابدأ باستخدام docker run -it --rm -v $(pwd)/data:/data dominicbreuker/stego-toolkit /bin/bash. سيتم إسقاطك في قشرة الحاوية في دليل العمل /data. سيتم تثبيت مجلد المضيف $(pwd)/data وستكون الصور الموجودة بداخله متاحة.

الأدوات

تم تثبيت العديد من أدوات Linux و Windows المختلفة. أدوات Windows مدعومة بـ Wine. يمكن استخدام بعض الأدوات من سطر الأوامر بينما يتطلب البعض الآخر دعم واجهة المستخدم الرسومية!

أدوات سطر الأوامر

يمكن استخدام هذه الأدوات من سطر الأوامر. كل ما عليك فعله هو بدء حاوية وتثبيت ملفات إخفاء البيانات التي ترغب في فحصها.

أدوات الفحص العامة

أدوات لتشغيلها في البداية. تتيح لك الحصول على فكرة عامة عما تتعامل معه.

أدوات كشف إخفاء البيانات

أدوات مصممة لكشف إخفاء البيانات في الملفات. تقوم في الغالب بإجراء اختبارات إحصائية. ستكشف الرسائل المخفية فقط في الحالات البسيطة. ومع ذلك، قد توفر تلميحات عما يجب البحث عنه إذا وجدت مخالفات مثيرة للاهتمام.

أدوات تقوم بالفعل بعملية إخفاء البيانات

أدوات يمكنك استخدامها لإخفاء الرسائل والكشف عنها لاحقاً. بعضها يقوم بتشفير الرسائل قبل إخفائها. إذا كانت تفعل ذلك، فإنها تتطلب كلمة مرور. إذا كان لديك تلميح حول نوع الأداة المستخدمة أو كلمة المرور الصحيحة، جرب هذه الأدوات. بعض الأدوات مدعومة ببرامج القوة الغاشمة المتوفرة في صورة Docker هذه.

أدوات إخفاء البيانات بواجهة رسومية

جميع الأدوات أدناه تحتوي على واجهات مستخدم رسومية ولا يمكن استخدامها عبر سطر الأوامر. لتشغيلها، يجب عليك توفير خادم X11 داخل الحاوية. طريقتان مدعومتان:

• قم بتشغيل start_ssh.sh لتشغيل خادم SSH. اتصل بعد ذلك بإعادة توجيه X11. يتطلب وجود خادم X11 على المضيف الخاص بك!
• قم بتشغيل start_vnc.sh لتشغيل خادم VNC + عميل. اتصل بعد ذلك بالمتصفح عبر المنفذ 6901 وستحصل على سطح مكتب Xfce. لا توجد تبعيات للمضيف!

بدلاً من ذلك، ابحث عن طرق أخرى لتوفير X11 داخل الحاوية. هناك العديد من الطرق المختلفة الممكنة (على سبيل المثال، تثبيت مآخذ UNIX).

البرامج النصية للفحص

العديد من الأدوات أعلاه لا تتطلب التفاعل مع واجهة رسومية. لذلك، يمكنك بسهولة أتمتة بعض سير العمل للقيام بفحص أساسي للملفات التي قد تحتوي على رسائل مخفية. نظراً لأن الأدوات المناسبة تختلف حسب نوع الملف، فإن كل نوع ملف له نصوص مختلفة.

لكل نوع ملف، هناك نوعان من البرامج النصية:

• XXX_check.sh <stego-file>: تشغيل أدوات الفحص الأساسية وإنشاء تقرير (+ ربما دليل مع تقارير في الملفات)
• XXX_brute.sh <stego-file> <wordlist>: محاولة استخراج رسالة مخفية من ملف stego باستخدام أدوات مختلفة باستخدام قائمة كلمات (cewl, john و crunch مثبتة لإنشاء القوائم - حافظ عليها صغيرة).

أنواع الملفات التالية مدعومة:

• JPG: check_jpg.h و brute_jpg.sh (القوة الغاشمة تشغيل steghide, outguess, outguess-0.13, stegbreak, stegoveritas.py -bruteLSB)
• PNG: check_png.h و brute_png.sh (القوة الغاشمة تشغيل openstego و stegoveritas.py -bruteLSB)

إنشاء قوائم الكلمات

البرامج النصية للقوة الغاشمة أعلاه تحتاج إلى قوائم كلمات. في رأيي، من المحتمل جداً ألا يساعد استخدام قوائم كلمات كبيرة قياسية مثل rockyou. البرامج النصية بطيئة جداً لذلك وتبدو تحديات stego غير مصممة لهذا. السيناريو الأكثر احتمالاً هو أن يكون لديك حدس حول ما يمكن أن تكون كلمة المرور ولكنك لا تعرف بالضبط.

لهذه الحالات، تم تضمين عدة أدوات لإنشاء قوائم الكلمات:

• john: الإصدار المحسّن من المجتمع لـ John the Ripper يمكنه توسيع قوائم الكلمات الخاصة بك. قم بإنشاء قائمة كلمات أساسية مع عدد قليل من كلمات المرور المرشحة واستخدم john لإنشاء العديد من المتغيرات منها. استخدم john -wordlist:/path/to/your/wordlist -rules:Single -stdout > /path/to/expanded/wordlist لتطبيق قواعد واسعة (~x1000) john -wordlist:/path/to/your/wordlist -rules:Wordlist -stdout > /path/to/expanded/wordlist لمجموعة قواعد مخفضة (~x50).
• crunch: يمكن إنشاء قوائم كلمات صغيرة إذا كان لديك نمط في ذهنك. على سبيل المثال، إذا كنت تعرف أن كلمة المرور تنتهي بـ 1984 وطولها 6 أحرف، استخدم crunch 6 6 abcdefghijklmnopqrstuvwxyz -t @@1984 سينشئ 26 * 26 = 676 كلمة مرور aa1984، ab1984، ... حتى zz1984. التنسيق هو crunch <min-length> <max-length> <charset> <options> واستخدمنا خيار القالب. تحقق من less /usr/share/crunch/charset.lst لرؤية مجموعات الأحرف التي تأتي مع crunch.
• CeWL: يمكن إنشاء قوائم كلمات إذا كنت تعرف أن موقع ويب مرتبط بكلمة مرور. على سبيل المثال، قم بتشغيل cewl -d 0 -m 8 https://en.wikipedia.org/wiki/Donald_Trump إذا كنت تشك في أن صورة لدونالد ترامب تحتوي على رسالة مخفية مشفرة. يقوم الأمر بكشط الموقع واستخراج السلاسل التي لا يقل طولها عن 8 أحرف.

أمثلة على إخفاء البيانات

تحتوي الصورة على ملفين نموذجيين (صورة وصوت) بتنسيقات مختلفة:

• /examples/ORIGINAL.jpg
• /examples/ORIGINAL.png
• /examples/ORIGINAL.mp3
• /examples/ORIGINAL.wav

كما يحتوي على برنامج نصي /examples/create_examples.sh يمكنك تشغيله لتضمين رسالة مخفية ("This is a very secret message!") في هذه الملفات باستخدام العديد من الطرق المختلفة. بعد تشغيل هذا البرنامج النصي، ستجد هذه الملفات في /examples/stego-files مع أسمائها التي تشير إلى الأداة المستخدمة لتضمين الرسالة. يمكنك تشغيل برامج الفحص لمعرفة ما إذا كانت تجد أي شيء عليها أو محاولة كسرها بطريقة أخرى.

واجهة المستخدم الرسومية والحاويات

افتراضياً، لا يمكن تشغيل أدوات واجهة المستخدم الرسومية في حاوية Docker لأنه لا يتوفر خادم X11. لتشغيلها، يجب عليك تغيير ذلك. ما هو مطلوب للقيام بذلك يعتمد على جهاز المضيف الخاص بك. إذا كنت:

• تعمل على Linux، فمن المحتمل أن يكون لديك X11
• تعمل على Mac OS، فأنت بحاجة إلى Xquartz (brew install Xquartz)
• تعمل على Windows، فلديك مشكلة

استخدم إعادة توجيه X11 عبر SSH إذا كنت ترغب في اتباع هذا الطريق. قم بتشغيل start_ssh داخل الحاوية لبدء الخادم، وتأكد من كشف المنفذ 22 عند بدء الحاوية: docker run -p 127.0.0.1:22:22 ...، ثم استخدم ssh -X ... عند الاتصال (يقوم البرنامج النصي بطباعة كلمة المرور).

لتجنب الاعتماد على X11، تأتي الصورة مع خادم TigerVNC وعميل noVNC. يمكنك استخدامه لفتح جلسة VNC HTML5 مع المتصفح للاتصال بسطح مكتب Xfce للحاوية. للقيام بذلك، قم بتشغيل start_vnc.sh داخل الحاوية لبدء الخادم والعميل، وتأكد من كشف المنفذ 6901 عند بدء الحاوية docker run -p 127.0.0.1:6901:6901 ... واذهب إلى localhost:6901/?password=<password> (يقوم البرنامج النصي بطباعة كلمة المرور).

استخدام SSH مع إعادة توجيه X11

الأوامر في GIF للنسخ واللصق:

# في أول قشرة مضيف
docker run -it --rm -p 127.0.0.1:22:22 dominicbreuker/stego-toolkit /bin/bash

# داخل قشرة الحاوية
start_ssh.sh

# في قشرة المضيف الثانية (استخدمها لتشغيل تطبيقات واجهة المستخدم الرسومية بعد ذلك)
ssh -X -o UserKnownHostsFile=/dev/null -o StrictHostKeyChecking=no root@localhost

استخدام المتصفح و VNC

الأوامر في GIF للنسخ واللصق:

# في أول قشرة مضيف
docker run -it --rm -p 127.0.0.1:6901:6901 dominicbreuker/stego-toolkit /bin/bash

# داخل قشرة الحاوية
start_vnc.sh

# في المتصفح، اتصل باستخدام: http://localhost:6901/?password=<password_from_start_vnc>

مجموعة الروابط

هذه مجموعة من روابط إخفاء البيانات المفيدة:

• يجب أن تكون قادراً على اكتشاف الرموز. تحقق من ورقة الغش من Eric Harshbarger، والتي تحتوي على العديد من الرموز المختلفة.
• ورقة غش تصف سير العمل، الأشياء التي يجب البحث عنها والأدوات الشائعة: اضغط
• دليل CTF للطب الشرعي مع الكثير من الأفكار لتحديات stego: اضغط
• أوصاف تنسيقات الملفات كملصقات جميلة: اضغط

المراجع

تم تضمين ملفات الوسائط النموذجية التالية في هذا المستودع:

• صورة تجريبية (JPG, PNG): https://pixabay.com/p-1685092
• ملف صوتي تجريبي (MP3, WAV): https://upload.wikimedia.org/wikipedia/commons/c/c5/Auphonic-wikimedia-test-stereo.ogg --- بواسطة debuglevel (عمل خاص) [CC BY-SA 3.0 (https://creativecommons.org/licenses/by-sa/3.0)]، عبر ويكيميديا كومنز