Steganography Toolkit

Este proyecto es una imagen Docker útil para resolver desafíos de esteganografía como los que puedes encontrar en plataformas CTF como hackthebox.eu. La imagen viene preinstalada con muchas herramientas populares (ver lista abajo) y varios scripts de cribado que puedes usar para verificar cosas simples (por ejemplo, ejecuta check_jpg.sh imagen.jpg para obtener un informe de un archivo JPG).

Uso

Primero asegúrate de tener Docker instalado (cómo hacerlo). Luego puedes usar los scripts de shell bin/build.sh y bin/run.sh en este repositorio para construir la imagen y ejecutar el contenedor. Te llevará a una shell bash dentro del contenedor. Tendrá montada la carpeta data, en la que puedes poner los archivos a analizar.

Si no usas los scripts, sigue estos pasos:

1. Construye la imagen (docker build -t <nombre_imagen> .) o descárgala desde Docker Hub (docker pull dominicbreuker/stego-toolkit)
2. Inicia un contenedor con tus archivos montados en la carpeta /data (docker run -it <nombre_imagen> -v /ruta/local/con/datos:/data /bin/bash)
3. Usa las herramientas de línea de comandos y los scripts de cribado en tus archivos: por ejemplo, ejecuta check_jpg.sh imagen.jpg para crear un informe rápido, o brute_jpg.sh imagen.jpg wordlist.txt para intentar extraer datos ocultos con varias herramientas y contraseñas
4. Si deseas ejecutar herramientas con interfaz gráfica, usa una de estas dos formas:

• Ejecuta start_ssh.sh y conéctate a tu contenedor con redirección X11
• Ejecuta start_vnc.sh y conéctate al escritorio del contenedor a través de tu navegador

Consulta las siguientes secciones para más información:

• ¿Qué herramientas están instaladas? Ve aquí
• ¿Qué scripts puedo ejecutar para cribar archivos automáticamente o aplicar fuerza bruta? Ve aquí
• ¿Cómo puedo jugar con diferentes ejemplos de esteganografía para ver si puedo romperlos? Ve aquí
• ¿Cómo puedo ejecutar herramientas con GUI dentro del contenedor? Ve aquí

Demo

Inicia con docker run -it --rm -v $(pwd)/data:/data dominicbreuker/stego-toolkit /bin/bash. Serás llevado a una shell del contenedor en el directorio de trabajo /data. Tu carpeta host $(pwd)/data estará montada y las imágenes dentro serán accesibles.

Herramientas

Muchas herramientas de Linux y Windows están instaladas. Las herramientas de Windows son compatibles con Wine. Algunas herramientas se pueden usar en la línea de comandos, mientras que otras requieren soporte GUI.

Herramientas de línea de comandos

Estas herramientas se pueden usar en la línea de comandos. Todo lo que tienes que hacer es iniciar un contenedor y montar los archivos de esteganografía que deseas verificar.

Herramientas de cribado general

Herramientas para ejecutar al principio. Te permiten obtener una idea amplia de con qué estás tratando.

Herramientas de detección de esteganografía

Herramientas diseñadas para detectar esteganografía en archivos. La mayoría realizan pruebas estadísticas. Revelarán mensajes ocultos solo en casos simples. Sin embargo, pueden dar pistas sobre qué buscar si encuentran irregularidades interesantes.

Herramientas que realmente hacen esteganografía

Herramientas que puedes usar para ocultar mensajes y luego revelarlos. Algunas cifran los mensajes antes de ocultarlos. Si lo hacen, requieren una contraseña. Si tienes una pista de qué tipo de herramienta se usó o cuál podría ser la contraseña, prueba estas herramientas. Algunas herramientas son compatibles con los scripts de fuerza bruta disponibles en esta imagen Docker.

Herramientas GUI de esteganografía

Todas las herramientas a continuación tienen interfaces gráficas de usuario y no se pueden usar desde la línea de comandos. Para ejecutarlas, debes hacer que un servidor X11 esté disponible dentro del contenedor. Se admiten dos formas:

• ejecuta start_ssh.sh para iniciar un servidor SSH. Conéctate después con redirección X11. Requiere un servidor X11 en tu host.
• ejecuta start_vnc.sh para iniciar un servidor VNC + cliente. Conéctate después con tu navegador al puerto 6901 y obtendrás un escritorio Xfce. Sin dependencias en el host.

Alternativamente, encuentra otras formas de hacer que X11 esté disponible dentro del contenedor. Muchas formas diferentes son posibles (por ejemplo, montar sockets UNIX).

Scripts de cribado

Muchas de las herramientas anteriores no requieren interacción con una GUI. Por lo tanto, puedes automatizar fácilmente algunos flujos de trabajo para realizar un cribado básico de archivos que potencialmente contengan mensajes ocultos. Dado que las herramientas aplicables difieren según el tipo de archivo, cada tipo de archivo tiene diferentes scripts.

Para cada tipo de archivo, hay dos tipos de scripts:

• XXX_check.sh <archivo-estego>: ejecuta herramientas de cribado básicas y crea un informe (+ posiblemente un directorio con informes en archivos)
• XXX_brute.sh <archivo-estego> <wordlist>: intenta extraer un mensaje oculto de un archivo estego con varias herramientas usando una wordlist (cewl, john y crunch están instalados para generar listas; manténlas pequeñas).

Los siguientes tipos de archivo son compatibles:

• JPG: check_jpg.h y brute_jpg.sh (fuerza bruta ejecutando steghide, outguess, outguess-0.13, stegbreak, stegoveritas.py -bruteLSB)
• PNG: check_png.h y brute_png.sh (fuerza bruta ejecutando openstego y stegoveritas.py -bruteLSB)

Generación de wordlists

Los scripts de fuerza bruta anteriores necesitan wordlists. En mi opinión, muy probablemente no ayudará usar wordlists estándar enormes como rockyou. Los scripts son demasiado lentos para eso y los desafíos de estego no parecen estar diseñados para esto. Un escenario más probable es que tengas una corazonada sobre cuál podría ser la contraseña, pero no la sabes exactamente.

Para estos casos, se incluyen varias herramientas para generar wordlists:

• john: la versión mejorada por la comunidad de John the Ripper puede expandir tus wordlists. Crea una wordlist base con algunas contraseñas candidatas y usa john para crear muchas variantes de ellas. Usa john -wordlist:/ruta/a/tu/wordlist -rules:Single -stdout > /ruta/a/wordlist/expandida para aplicar reglas extensas (~x1000) y john -wordlist:/ruta/a/tu/wordlist -rules:Wordlist -stdout > /ruta/a/wordlist/expandida para un conjunto de reglas reducido (~x50).
• crunch: puede generar wordlists pequeñas si tienes un patrón en mente. Por ejemplo, si sabes que las contraseñas terminan en 1984 y tienen 6 letras, usa crunch 6 6 abcdefghijklmnopqrstuvwxyz -t @@1984 que generará las 26 * 26 = 676 contraseñas aa1984, ab1984, ... hasta zz1984. El formato es crunch <longitud-min> <longitud-max> <conjunto-caracteres> <opciones> y hemos usado la opción de plantilla. Consulta less /usr/share/crunch/charset.lst para ver los conjuntos de caracteres que incluye crunch.
• CeWL: puede generar wordlists si sabes que un sitio web está relacionado con una contraseña. Por ejemplo, ejecuta cewl -d 0 -m 8 https://en.wikipedia.org/wiki/Donald_Trump si sospechas que una imagen de Donald Trump contiene un mensaje oculto cifrado. El comando extrae el sitio y extrae cadenas de al menos 8 caracteres.

Ejemplos de esteganografía

La imagen contiene una imagen de muestra y un archivo de audio en diferentes formatos:

• /examples/ORIGINAL.jpg
• /examples/ORIGINAL.png
• /examples/ORIGINAL.mp3
• /examples/ORIGINAL.wav

También contiene un script /examples/create_examples.sh que puedes ejecutar para incrustar un mensaje oculto ("¡Este es un mensaje muy secreto!") en estos archivos con muchos métodos diferentes. Después de ejecutar este script, encontrarás estos archivos en /examples/stego-files con sus nombres indicando qué herramienta se usó para incrustar el mensaje. Puedes ejecutar los scripts de cribado para ver si encuentran algo en ellos o intentar descifrarlos de otra manera.

GUI y Contenedores

Por defecto, no se pueden ejecutar herramientas GUI en un contenedor Docker ya que no hay un servidor X11 disponible. Para ejecutarlas, debes cambiar eso. Lo que se requiere para hacerlo depende de tu máquina host. Si:

• ejecutas en Linux, probablemente tengas X11
• ejecutas en Mac OS, necesitas Xquartz (brew install Xquartz)
• ejecutas en Windows, tienes un problema

Usa la redirección X11 a través de SSH si quieres ir por este camino. Ejecuta start_ssh dentro del contenedor para iniciar el servidor, asegúrate de exponer el puerto 22 al iniciar el contenedor: docker run -p 127.0.0.1:22:22 ..., luego usa ssh -X ... al conectarte (el script imprime la contraseña).

Para no depender de X11, la imagen incluye un servidor TigerVNC y un cliente noVNC. Puedes usarlo para abrir una sesión VNC HTML5 con tu navegador para conectarte al escritorio Xfce del contenedor. Para hacerlo, ejecuta start_vnc.sh dentro del contenedor para iniciar servidor y cliente, asegúrate de exponer el puerto 6901 al iniciar el contenedor docker run -p 127.0.0.1:6901:6901 ... y ve a localhost:6901/?password=<la_contraseña> (el script imprime la contraseña).

Usando SSH con redirección X11

Comandos del GIF para copiar y pegar:

# en la 1ª shell del host
docker run -it --rm -p 127.0.0.1:22:22 dominicbreuker/stego-toolkit /bin/bash

# dentro de la shell del contenedor
start_ssh.sh

# en la 2ª shell del host (úsala para lanzar aplicaciones GUI después)
ssh -X -o UserKnownHostsFile=/dev/null -o StrictHostKeyChecking=no root@localhost

Usando navegador y VNC

Comandos del GIF para copiar y pegar:

# en la 1ª shell del host
docker run -it --rm -p 127.0.0.1:6901:6901 dominicbreuker/stego-toolkit /bin/bash

# dentro de la shell del contenedor
start_vnc.sh

# en el navegador, conéctate con: http://localhost:6901/?password=<contraseña_de_start_vnc>

Colección de enlaces

Esta es una colección de enlaces útiles sobre esteganografía:

• Debes ser capaz de reconocer códigos. Consulta esta hoja de referencia de Eric Harshbarger, que contiene muchos códigos diferentes.
• Hoja de referencia que describe flujos de trabajo, cosas a buscar y herramientas comunes: clic
• Guía forense CTF con muchas ideas para desafíos de estego: clic
• Descripciones de formatos de archivo como carteles hermosos: clic

Referencias

Los siguientes archivos multimedia de ejemplo están incluidos en este repositorio:

• Imagen de demostración (JPG, PNG): https://pixabay.com/p-1685092
• Archivo de sonido de demostración (MP3, WAV): https://upload.wikimedia.org/wikipedia/commons/c/c5/Auphonic-wikimedia-test-stereo.ogg --- Por debuglevel (Trabajo propio) [CC BY-SA 3.0 (https://creativecommons.org/licenses/by-sa/3.0)], vía Wikimedia Commons