PyStegosploit - Livraison d'exploits via la stéganographie et les polyglots

par Charmve - yidazhang1 [at] gmail[dot]com, @Charmve @therealsaumil @amichael

Mai 2021

Stegosploit crée une nouvelle façon d'encoder des exploits de navigateur « drive-by » et de les livrer via des fichiers images. Ces charges utiles sont indétectables par les moyens actuels. Cet article traite de deux techniques sous-jacentes larges utilisées pour la livraison d'exploits basés sur des images - la stéganographie et les polyglots. Les exploits de navigateur drive-by sont encodés de manière stéganographique dans des images JPG et PNG. Le fichier image résultant est fusionné avec du code de décodeur HTML et Javascript, le transformant en un polyglot HTML+Image. Le polyglot ressemble et se comporte comme une image, mais est décodé et déclenché dans le navigateur de la victime lorsqu'il est chargé.

Un aperçu de la boîte à outils Stegosploit ^[1]

Stegosploit comprend des outils qui permettent à un utilisateur d'analyser des images, d'encoder de manière stéganographique des données d'exploit sur des fichiers JPG et PNG, et de transformer les images encodées en fichiers polyglots pouvant être rendus en HTML ou exécutés en Javascript.

La version actuelle de Stegosploit est 0.2 et se trouve dans le numéro 0x08 du International Journal of Proof-of-Concept or Get The Fuck Out (Poc||GTFO). Notez que vous devrez lire jusqu'à la fin de l'article dans PoC||GTFO pour trouver l'indice sur la façon d'extraire la boîte à outils.

🔍 Parcourir les dossiers

📄 README.md
📄 copying.txt - WTFPL
📁 stego/
- 📄 image_layer_analysis.html - Analyser les couches de bits d'une image
- 📄 iterative_encoding.html - Encoder un exploit sur une image JPG ou PNG
- 📄 imagedecoder.html - Décoder une image encodée de manière stéganographique
- 📄 imagedecode.js
- 📄 histogram.js
- 📄 md5.js
- 📄 base64.js
📁 exploits/
- 📄 exploits.js - Code d'exploit préfabriqué
- 📄 decoder_cve_2014_0282.html - Code de décodeur + éléments HTML CVE-2014-0282

jpegdump.c a été écrit par Ralph Giles et peut être téléchargé depuis https://svn.xiph.org/experimental/giles/jpegdump.c

Dans ce dépôt, il est important de noter que project-stegosploit est la partie clé, qui montre comment cacher le code d'exploit dans une image, comment encoder/décoder, et comment exécuter le framework meterpreter.

🔧 Comment fonctionne Stegosploit

Le code d'exploit est inséré dans les pixels de l'image de sorte que l'image contienne le code d'exploit. IMAJS crée ensuite une image polyglot qui sera lue comme une image et contient un décodeur qui extraira et exécutera l'exploit javascript.

L'exploit que nous allons utiliser est un exploit Use-after-free d'Internet Explorer (CVE-2014-0282).

🔨 Prérequis

Ubuntu 18.04 / Kali / Debian 9
service web - python -m http.server 8000
Metasploit Framework - Comment installer

📆 Ce que nous avons fait jusqu'à présent

Points forts :

Le serveur peut servir des images à la VM sur 10.0.2.2:5000
Le programme jpg.py peut construire un fichier polyglot (valide .html et .jpg)

📝 Liste de contrôle

Refactoriser CRC32.pm
Refactoriser PNGDATA.pm
Refactoriser html_in_jpg_ie.pl
Refactoriser pngenum.pl
Serveur de démonstration
- Déplacer tous les fichiers d'exploit statiques dans les pages de démo vers /static
- S'assurer que tous les fichiers statiques sont passés analysés via template_render
- Ajouter un sélecteur d'image pour image_layer_analysis.html (Optionnel)

✨ Travaux connexes Stegosploit

Mon dépôt

steganography.js - Cacher des messages secrets avec JavaScript avec steganography.js https://charmve.github.io/xss-test/examples/showcase/
StegaStamp-plus - Amélioré le dépôt original, 'Invisible Hyperlinks in Physical Photographs', sans jeux de données ni paramètres d'entraînement

❕ Avertissement

Ce dépôt suit l'accord open source GPL, veuillez vous assurer de le comprendre.
Nous interdisons strictement tout acte violant les lois nationales via ce programme, veuillez utiliser ce programme dans le cadre légal.
Par défaut, l'utilisation de cet élément sera considérée comme votre accord avec nos règles. Veuillez respecter les normes morales et légales.
Si vous ne vous conformez pas, vous serez responsable des conséquences, et l'auteur n'assumera aucune responsabilité !