PyStegosploit - Exploit-Auslieferung mittels Steganografie und Polyglotten

von Charmve - yidazhang1 [at] gmail[dot]com, @Charmve @therealsaumil @amichael

Mai 2021

Stegosploit schafft eine neue Möglichkeit, "Drive-by"-Browser-Exploits zu kodieren und über Bilddateien auszuliefern. Diese Payloads sind mit aktuellen Mitteln nicht erkennbar. Dieses Papier behandelt zwei grundlegende zugrunde liegende Techniken für die bildbasierte Exploit-Auslieferung - Steganografie und Polyglotte. Drive-by-Browser-Exploits werden steganografisch in JPG- und PNG-Bilder kodiert. Die resultierende Bilddatei wird mit HTML- und JavaScript-Decoder-Code verschmolzen und in ein HTML+Image-Polyglott umgewandelt. Das Polyglott sieht aus und fühlt sich an wie ein Bild, wird aber im Browser eines Opfers dekodiert und ausgelöst, wenn es geladen wird.

Eine Tour durch das Stegosploit-Toolkit ^[1]

Stegosploit besteht aus Werkzeugen, die es einem Benutzer ermöglichen, Bilder zu analysieren, Exploit-Daten steganografisch auf JPG- und PNG-Dateien zu kodieren und die kodierten Bilder in Polyglott-Dateien umzuwandeln, die als HTML gerendert oder als JavaScript ausgeführt werden können.

Die aktuelle Version von Stegosploit ist 0.2 und befindet sich in Ausgabe 0x08 des International Journal of Proof-of-Concept or Get The Fuck Out (Poc||GTFO). Beachten Sie, dass Sie den Artikel in PoC||GTFO bis zum Ende lesen müssen, um den Hinweis zur Extraktion des Toolkits zu finden.

🔍 Durchsuchen der Ordner

📄 README.md
📄 copying.txt - WTFPL
📁 stego/
- 📄 image_layer_analysis.html - Analysiert die Bitebenen eines Bildes
- 📄 iterative_encoding.html - Kodiert einen Exploit auf ein JPG- oder PNG-Bild
- 📄 imagedecoder.html - Dekodiert ein steganografisch kodiertes Bild
- 📄 imagedecode.js
- 📄 histogram.js
- 📄 md5.js
- 📄 base64.js
📁 exploits/
- 📄 exploits.js - Vorgefertigter Exploit-Code
- 📄 decoder_cve_2014_0282.html - Decoder-Code + CVE-2014-0282 HTML-Elemente

jpegdump.c wurde von Ralph Giles geschrieben und kann von https://svn.xiph.org/experimental/giles/jpegdump.c heruntergeladen werden.

In diesem Repository ist project-stegosploit der wichtigste Teil, der zeigt, wie Exploit-Code in einem Bild versteckt, kodiert/dekodiert und das Meterpreter-Framework ausgeführt wird.

🔧 Wie Stegosploit funktioniert

Der Exploit-Code wird in die Pixel des Bildes eingefügt, sodass das Bild den Exploit-Code enthält. IMAJS erzeugt dann ein Polyglott-Bild, das als Bild gelesen wird und einen Decoder enthält, der den JavaScript-Exploit extrahiert und ausführt.

Der Exploit, den wir verwenden werden, ist ein Internet Explorer Use-after-free-Exploit (CVE-2014-0282).

🔨 Voraussetzungen

Ubuntu 18.04 / Kali / Debian 9
Webservice - python -m http.server 8000
Metasploit Framework - Installationsanleitung

📆 Bisher erreicht

Höhepunkte:

Der Server kann Bilder an die VM über 10.0.2.2:5000 bereitstellen.
Das Programm jpg.py kann eine Polyglott-Datei erstellen (gültiges .html und .jpg)

📝 Checkliste

Refactor CRC32.pm
Refactor PNGDATA.pm
Refactor html_in_jpg_ie.pl
Refactor pngenum.pl
Demo-Server
- Verschiebe alle statischen Exploit-Dateien in Demoseiten nach /static
- Stelle sicher, dass alle statischen Dateien mit template_render analysiert werden
- Füge einen Bildwähler für image_layer_analysis.html hinzu (optional)

✨ Verwandte Arbeiten Stegosploit

Mein Repository

steganography.js - Verstecke geheime Nachrichten mit JavaScript mit steganography.js https://charmve.github.io/xss-test/examples/showcase/
StegaStamp-plus - Verbesserte das ursprüngliche Repository, 'Invisible Hyperlinks in Physical Photographs', ohne Datensätze und Trainingsparameter

❕ Haftungsausschluss

Dieses Repository folgt der GPL Open-Source-Vereinbarung, bitte stellen Sie sicher, dass Sie diese verstanden haben.
Wir untersagen strikt alle Handlungen, die gegen nationale Gesetze verstoßen, durch dieses Programm. Bitte verwenden Sie dieses Programm im rechtlichen Rahmen.
Standardmäßig wird die Nutzung dieses Gegenstands als Zustimmung zu unseren Regeln angesehen. Bitte halten Sie sich an die moralischen und rechtlichen Standards.
Wenn Sie sich nicht daran halten, übernehmen Sie die Verantwortung für die Konsequenzen, und der Autor übernimmt keine Haftung!