shotlooter

Introducción

La herramienta Shotlooter está desarrollada para encontrar datos sensibles dentro de las capturas de pantalla que se suben a https://prnt.sc/ (a través del software LightShot) aplicando métodos de OCR y procesamiento de imágenes.

                                                              +-------------------+
    IMAGE FILE                                                |#!/usr/bin/python  |
+--------------------+                                        |                   +----->SENSITIVE
|prnt.sc/sjgmm5      |                                        |Search for:        |
+--------------------+                                        |                   |
|      _             |      CONVERTS          STRING          |sensitive keywords |
|  .-.-.=\-          |      +-------+     +------------+      |                   |
|  (_)=='(_)         |      |       |     |            |      |high entropy       |
|              .._\  +----->+  OCR  +---->+ TEXTTEXTT  +----->+                   |
|             (o)(o) |      |       |     |            |      |credit card pattern+----->NOT SENSITIVE
|   TEXTTEXTTEX      |      +-------+     +------------+      |                   |
|                    |                                        +-------------------+
+--------------+------+
               |                 +-----------------------+
               v                 |#!/usr/bin/python      |
SMALLER         IMAGES           |                       +------>SENSITIVE
+-------------+ +------------+   |Image processing:      |
|    _        | |    .._\    |   |                       |
| .-.-.=\-    | |   (o)(o)   +-->+ Does it contain:      |
| (_)=='(_)   | |            |   |   ~~O                 |
+-------------+ +------------+   |    /\,                |
                                 |   -|~(*)              +------>NOT SENSITIVE
                                 |  (*)                  |
                                 +-----------------------+

¿Cómo funciona?

1. A partir del ID de imagen dado, Shotlooter itera a través de las imágenes (sí, los IDs de imagen no son aleatorios) y las descarga localmente.
2. Convierte el texto dentro de la imagen utilizando la librería Tesseract OCR.
3. Busca palabras clave predefinidas en la imagen (private_key, smtp_pass, access key, mongodb+srv, etc.)
4. Busca cadenas con alta entropía (las claves API suelen tener alta entropía)
5. Busca imágenes pequeñas (por ejemplo, el logotipo de Lastpass) dentro de la imagen descargada (coincidencia de plantillas) con OpenCV.
6. Guarda los resultados en un archivo CSV
7. Guarda las imágenes que contienen datos sensibles en la carpeta output

Instalación

Shotlooter requiere Python3, pip3 para funcionar y ha sido probado en macOS y sistemas Linux basados en Debian.

Instalación de dependencias para macOS: brew install tesseract

Instalación de dependencias para Linux basado en Debian: sudo apt install libsm6 libxext6 libxrender-dev tesseract-ocr -y

Clona el repositorio:

git clone https://github.com/utkusen/shotlooter.git

Entra en la carpeta

cd shotlooter

Instala las librerías requeridas

pip3 install -r requirements.txt

Uso

Uso básico: python3 shotlooter.py --code PRNT.SC_ID

Busca palabras clave coincidentes (ubicadas en keywords.txt), cadenas de alta entropía y números de tarjeta de crédito. Puedes encontrar un ID subiendo una imagen a https://prnt.sc/. Por ejemplo python3 shotlooter.py --code sjgmm5

Comprobará los IDs incrementándolos uno por uno:

sjgmm6
sjgmm7
sjgmm8
sjgmm9
sjgmma
sjgmmb
...

Búsqueda de imágenes: python3 shotlooter.py --code sjgmm5 --imagedir IMAGE_FOLDER_PATH

Buscará los elementos cubiertos en el uso básico y también buscará las imágenes pequeñas proporcionadas dentro de las capturas de pantalla más grandes. Si planeas usar esta función, coloca tus imágenes pequeñas dentro de la carpeta img.

Excluir búsqueda: Puedes excluir cualquier tipo de búsqueda proporcionando el argumento correspondiente: --no-cc, --no-entropy, --no-keyword

Por ejemplo: python3 shotlooter.py --code sjgmm5 --no-entropy. Shotlooter omitirá la verificación de cadenas de alta entropía.

Una nota sobre los falsos positivos

Shotlooter tiene una alta tasa de falsos positivos para la coincidencia de cadenas de alta entropía y tarjetas de crédito. En realidad, no son falsos positivos, pero pueden no ser los elementos que estás buscando. Detecta cadenas de alta entropía para capturar claves API, claves privadas, etc. Sin embargo, cualquier cadena aleatoria no sensible también tendrá una alta entropía y Shotlooter la detectará. Lo mismo ocurre con las tarjetas de crédito.

Si no quieres lidiar con falsos positivos, excluye las búsquedas de entropía y tarjetas de crédito.

¿Qué deberías esperar encontrar?

Ejecuté Shotlooter durante 2 semanas e identifiqué más de 300 imágenes que contenían varios datos sensibles. Puedes ver los hallazgos que encontré más a menudo a continuación:

Solicitudes de Postman

Contiene IDs de sesión útiles, tokens de acceso, etc.

Claves API en la nube (Google, AWS)

Las capturas de pantalla se toman desde la consola de la nube o desde un cliente de escritorio

ID de sesión en la URL

Todos sabemos que no es bueno pasar el ID de sesión con una solicitud GET por diferentes razones. Esta es una de ellas.

Credenciales en hojas de Excel

A algunas personas les encanta usar Excel como gestor de contraseñas.

Claves privadas de Bitcoin (Esto es terrible)

Las carteras de Bitcoin te permiten exportar tu clave privada para importarla a otro lugar. Pero si publicas la captura de pantalla de tu clave privada, toda tu cartera puede verse comprometida.