SVG Security Analysis Toolkit – Tool-Dokumentation

Dieses Toolkit enthält spezialisierte Python-Tools zur Analyse potenziell bösartiger SVG-Dateien und zur Erkennung von Sicherheitsmechanismen.

Übersicht

Das Toolkit besteht aus vier Haupttools:

1. extract.py – Statische Analyse zur Extraktion verschleierter URLs
2. extract_dynamic.py – Dynamische Analyse mit box-js für die JavaScript-Ausführung
3. cf_probe.py – Erkennung von Cloudflare-Schutz (Turnstile, CAPTCHA usw.)
4. encoder.py – Testfall-Generator zur Erstellung verschleierter SVG-Beispiele

---

Tool #1: extract.py – Statischer SVG-URL-Extraktor

Zweck

Ein musterbasiertes statisches Analysetool, das verschleierte URLs aus bösartigen SVG-Dateien dekodiert, ohne Code auszuführen. Dies ist die sicherere Option für die erste Analyse.

Hauptfunktionen

• XOR-Dekodierung: Automatische Erkennung und Dekodierung XOR-verschlüsselter Payloads
• Zeichenarithmetik: Dekodiert String.fromCharCode-Muster mit numerischen Berechnungen
• Base64-Extraktion: Findet und dekodiert Base64-kodierte URLs
• E-Mail-Erkennung: Identifiziert E-Mail-Adressen, die bei der URL-Verkettung verwendet werden
• Mehrere Verschleierungsstrategien: Behandelt verschiedene Entschleierungstechniken

Verwendung

# Analysiere eine einzelne SVG-Datei
python3 extract.py -i malicious.svg

# Ausführliche Ausgabe mit dekodiertem JavaScript
python3 extract.py -i malicious.svg -v

# Debug-Modus mit detaillierten Analyseschritten
python3 extract.py -i malicious.svg -d

# Von stdin lesen
python3 extract.py < malicious.svg

Wichtige Erkennungsmuster

1. Secretkey-XOR-Muster: Erkennt String.fromCharCode(115,101,99,...) („secretkey")
2. XOR-Schleifenerkennung: Identifiziert for-Schleifen mit parseInt und XOR-Operationen
3. Data-URI-Skripte: Extrahiert und dekodiert Base64-Inhalte aus data:-URIs
4. Verschachteltes atob() + Variable: Behandelt Muster wie atob("base64") + variableName

Abhängigkeiten

• Python 3.6+ (verwendet nur die Standardbibliothek)

Beispielausgabe

DYNAMISCHER SVG-URL-EXTRAKTOR
=========================================================
Ergebnisse von SVG #1:
----------------------------------------
Verschleierung: XOR-Dekodierung (Schlüssellänge: 9)
Extrahierte URLs:
  → https://malicious.example.com/[email protected]

---

Tool #2: extract_dynamic.py – Dynamischer SVG-JavaScript-Analysator

Zweck

Ein ausgefeiltes dynamisches Analysetool, das mit box-js in SVG-Dateien eingebettetes JavaScript extrahiert und analysiert. Dieses Tool führt JavaScript in einer Sandbox-Umgebung aus und wurde entwickelt, um endgültige, vollständige URLs zu extrahieren, selbst wenn diese durch komplexe Verschleierung erstellt wurden.

Hauptfunktionen

• JavaScript-Ausführung: Verwendet box-js, um SVG-Skripte sicher auszuführen
• Erweitertes Hook-System: Über 300 Zeilen umfassendes JavaScript-Payload mit umfassender Überwachung
• URL-Aufbau-Verfolgung: Erfasst URLs, die dynamisch durch Zeichenfolgenverkettung erstellt wurden
• Priorisierung endgültiger URLs: Unterscheidet vollständige URLs von Teilkomponenten
• ActiveX/WScript-Überwachung: Spezialisierte Erkennung von Windows-Skriptobjekten
• Erkennung mehrerer Senken: Überwacht location, window.open, fetch, XHR, Image.src usw.

Abhängigkeiten

# Erforderlich: box-js muss global installiert sein
npm install -g box-js

# Python-Anforderungen (optional)
pip install -r requirements.txt

Verwendung

# Grundlegende Analyse einer einzelnen SVG
python3 extract_dynamic.py -i malicious.svg

# Analyse mit benutzerdefiniertem Ausgabeverzeichnis
python3 extract_dynamic.py -i malicious.svg -o analysis_results

# Verzeichnis von SVGs mit erweitertem Timeout analysieren
python3 extract_dynamic.py -i svg_samples/ -t 60

# Temporäre Dateien zum Debuggen behalten
python3 extract_dynamic.py -i malicious.svg --keep-temp

# URL-Blockliste in Datei speichern
python3 extract_dynamic.py -i malicious.svg --blocklist-out urls.txt

# E-Mail-Adressen aus Datenschutzgründen maskieren
python3 extract_dynamic.py -i malicious.svg --mask-emails

Erweiterte Funktionen

Hook-System (PRELUDE_JS)

Das Tool injiziert ein umfassendes JavaScript-Payload, das Folgendes abfängt (hookt):

• Location-Operationen: location.href, location.assign(), location.replace()
• Window-Methoden: window.open(), Navigationsmethoden
• HTTP-Anfragen: fetch(), XMLHttpRequest.open()
• Zeichenfolgenoperationen: String.prototype.concat, Zeichenfolgenmanipulation
• Dekodierer: atob(), decodeURI(), unescape()
• Dynamische Ausführung: eval(), Function(), setTimeout()

Mustererkennung

Erkennt und behandelt automatisch:

• Einfache Hex-Dekodierungsmuster
• Hex-kodierte dynamische Ausführung
• XOR + dynamische eval-Konstruktion
• Zeichenzuordnung + find()-Ausführung
• Arithmetische Zeichencode-Muster
• Häufige Verschleierungstechniken

Beispielausgabe

=== Verarbeite: malicious.svg ===
  Temporäres JS geschrieben -> /tmp/boxjs_svg_ABC/test.boxed.js
  Führe box-js aus (Timeout 30s) mit Senken-Hooks...
  [+] box-js abgeschlossen. Ergebnisse in: boxjs_out/malicious.svg.boxjs_results

  *** ENDGÜLTIGE VOLLSTÄNDIGE URLs GEFUNDEN ***:
    → https://evil.example.com/[email protected]
  
  Gefundene E-Mails:
    → [email protected]

=== ZUSAMMENFASSUNG DER ANALYSE ===
🎯 VOLLSTÄNDIGE URLs EXTRAHIERT (insgesamt 1):
======================================================
  → https://evil.example.com/[email protected]
======================================================

---

Tool #3: cf_probe.py – Erkennung von Cloudflare-Schutz

Zweck

Ein Web-Erkundungstool zur Erkennung von Cloudflare-Sicherheitsmechanismen, einschließlich Turnstile, CAPTCHA-Systemen, Browser-Verifikation und anderen Schutzmaßnahmen entlang von Weiterleitungsketten.

Hauptfunktionen

• Verfolgung von Weiterleitungsketten: Folgt automatisch HTTP-Weiterleitungen und Meta-Refresh-Weiterleitungen
• Mehrere Erkennungsmuster: Erkennt Turnstile über verschiedene Methoden
• JavaScript-Datei-Scan: Analysiert verlinkte JS-Dateien auf zusätzliche Sitekeys
• Kompression-Unterstützung: Verarbeitet gzip-, deflate- und brotli-Komprimierung
• Umfassende Schutzerkennung: Identifiziert mehrere Cloudflare-Schutztypen

Abhängigkeiten

pip install requests
pip install brotli  # Optional für brotli-Unterstützung

Verwendung

# Einzelne URL auf Cloudflare-Schutz prüfen
python3 cf_probe.py https://example.com

# Scan mit JavaScript-Dateianalyse
python3 cf_probe.py https://example.com --scan-js

# Mehrere URLs aus Datei verarbeiten
python3 cf_probe.py -i urls.txt

# Benutzerdefinierter User-Agent und Timeout
python3 cf_probe.py https://example.com -A "Custom-Agent" -t 30

# TLS-Verifizierung deaktivieren (für Tests)
python3 cf_probe.py https://example.com --insecure

# HTML/JS für Analyse sichern
python3 cf_probe.py https://example.com --dump analysis_dump/

Erkennungsfunktionen

Turnstile-Erkennung

• data-sitekey-Attribute
• turnstile.render()-JavaScript-Aufrufe
• turnstile.create()-JavaScript-Aufrufe
• Turnstile-API-Skriptverweise
• cf-turnstile-CSS-Klassen

Anderer Cloudflare-Schutz

• Benutzerdefinierte CAPTCHA-Systeme
• Browser-Verifikationsseiten
• CF-Challenge-Container
• CF-Header (CF-Ray, Server-Header)
• DDoS-Schutzmeldungen

Beispielausgabe

=== Weiterleitungs-/Navigationskette (3 Schritte) ===

[0] URL: https://example.com
    Status: 301
    Cloudflare-Schutz: JA (CF-Header)
    CF-Header: cf-ray: 123abc456def789

[1] URL: https://protected.example.com
    Status: 200
    Cloudflare-Schutz: JA (Turnstile, Benutzerdefiniertes CAPTCHA)
    Turnstile-Sitekey(s): 0x1AAA000000000000000
    CAPTCHA-Nachweis: Klicken Sie auf den Computer, um zu verifizieren