SVG सुरक्षा विश्लेषण टूलकिट - टूल दस्तावेज़ीकरण

इस टूलकिट में संभावित रूप से दुर्भावनापूर्ण SVG फ़ाइलों का विश्लेषण करने और सुरक्षा तंत्रों का पता लगाने के लिए विशेष Python उपकरण शामिल हैं।

अवलोकन

टूलकिट में चार मुख्य उपकरण शामिल हैं:

1. extract.py - ऑब्फस्केटेड URL निष्कर्षण के लिए स्थैतिक विश्लेषण
2. extract_dynamic.py - JavaScript निष्पादन के लिए box-js का उपयोग करके गतिशील विश्लेषण
3. cf_probe.py - Cloudflare सुरक्षा पहचान (Turnstile, CAPTCHA, आदि)
4. encoder.py - ऑब्फस्केटेड SVG नमूने बनाने के लिए परीक्षण मामला जनरेटर

---

टूल #1: extract.py - स्थैतिक SVG URL निष्कर्षक

उद्देश्य

एक पैटर्न-आधारित स्थैतिक विश्लेषण उपकरण जो बिना किसी कोड को निष्पादित किए दुर्भावनापूर्ण SVG फ़ाइलों से ऑब्फस्केटेड URL डिकोड करता है। यह प्रारंभिक विश्लेषण के लिए अधिक सुरक्षित विकल्प है।

मुख्य विशेषताएँ

• XOR डिकोडिंग: XOR-एन्क्रिप्टेड पेलोड का स्वचालित पता लगाना और डिकोडिंग
• कैरेक्टर अंकगणित: संख्यात्मक गणनाओं के साथ String.fromCharCode पैटर्न को डिकोड करता है
• Base64 निष्कर्षण: Base64-एन्कोडेड URL ढूंढता और डिकोड करता है
• ईमेल पहचान: URL संयोजन में उपयोग किए गए ईमेल पते की पहचान करता है
• एकाधिक ऑब्फस्केशन रणनीतियाँ: विभिन्न डीऑब्फस्केशन तकनीकों को संभालता है

उपयोग

# Analyze a single SVG file
python3 extract.py -i malicious.svg

# Verbose output showing decoded JavaScript
python3 extract.py -i malicious.svg -v

# Debug mode with detailed analysis steps
python3 extract.py -i malicious.svg -d

# Read from stdin
python3 extract.py < malicious.svg

मुख्य पहचान पैटर्न

1. Secretkey XOR पैटर्न: String.fromCharCode(115,101,99,...) ("secretkey") का पता लगाता है
2. XOR लूप पहचान: parseInt और XOR ऑपरेशन वाले for लूप की पहचान करता है
3. डेटा URI स्क्रिप्ट: data: URI से Base64 सामग्री निकालता और डिकोड करता है
4. नेस्टेड atob() + वेरिएबल: atob("base64") + variableName पैटर्न को संभालता है

निर्भरताएँ

• Python 3.6+ (केवल मानक लाइब्रेरी का उपयोग करता है)

उदाहरण आउटपुट

DYNAMIC SVG URL EXTRACTOR
=========================================================
SVG #1 Results:
----------------------------------------
Obfuscation: XOR decoding (key length: 9)
Extracted URLs:
  → https://malicious.example.com/[email protected]

---

टूल #2: extract_dynamic.py - गतिशील SVG JavaScript विश्लेषक

उद्देश्य

एक परिष्कृत गतिशील विश्लेषण उपकरण जो box-js का उपयोग करके SVG फ़ाइलों में एम्बेडेड JavaScript को निकालता और उसका विश्लेषण करता है। यह उपकरण JavaScript को सैंडबॉक्स किए गए वातावरण में निष्पादित करता है और जटिल ऑब्फस्केशन के माध्यम से बनाए गए अंतिम, पूर्ण URL निकालने के लिए डिज़ाइन किया गया है।

मुख्य विशेषताएँ

• JavaScript निष्पादन: SVG स्क्रिप्ट को सुरक्षित रूप से निष्पादित करने के लिए box-js का उपयोग करता है
• उन्नत हुक सिस्टम: व्यापक निगरानी के साथ 300+ लाइन का JavaScript पेलोड
• URL निर्माण ट्रैकिंग: स्ट्रिंग संयोजन के माध्यम से गतिशील रूप से निर्मित URL कैप्चर करता है
• अंतिम URL प्राथमिकता: पूर्ण URL और आंशिक घटकों के बीच अंतर करता है
• ActiveX/WScript निगरानी: विशेष Windows स्क्रिप्ट ऑब्जेक्ट पहचान
• एकाधिक सिंक पहचान: location, window.open, fetch, XHR, Image.src, आदि की निगरानी करता है

निर्भरताएँ

# Required: box-js must be installed globally
npm install -g box-js

# Python requirements (optional)
pip install -r requirements.txt

उपयोग

# Basic analysis of a single SVG
python3 extract_dynamic.py -i malicious.svg

# Analyze with custom output directory
python3 extract_dynamic.py -i malicious.svg -o analysis_results

# Analyze directory of SVGs with extended timeout
python3 extract_dynamic.py -i svg_samples/ -t 60

# Keep temporary files for debugging
python3 extract_dynamic.py -i malicious.svg --keep-temp

# Save URL blocklist to file
python3 extract_dynamic.py -i malicious.svg --blocklist-out urls.txt

# Mask email addresses for privacy
python3 extract_dynamic.py -i malicious.svg --mask-emails

उन्नत सुविधाएँ

हुक सिस्टम (PRELUDE_JS)

यह उपकरण एक व्यापक JavaScript पेलोड इंजेक्ट करता है जो हुक करता है:

• लोकेशन ऑपरेशन: location.href, location.assign(), location.replace()
• विंडो विधियाँ: window.open(), नेविगेशन विधियाँ
• HTTP अनुरोध: fetch(), XMLHttpRequest.open()
• स्ट्रिंग ऑपरेशन: String.prototype.concat, स्ट्रिंग मैनिपुलेशन
• डिकोडर: atob(), decodeURI(), unescape()
• गतिशील निष्पादन: eval(), Function(), setTimeout()

पैटर्न पहचान

स्वचालित रूप से पता लगाता और संभालता है:

• सरल हेक्स डिकोडिंग पैटर्न
• हेक्स-एन्कोडेड गतिशील निष्पादन
• XOR + गतिशील eval निर्माण
• कैरेक्टर मैपिंग + find() निष्पादन
• अंकगणितीय कैरेक्टर कोड पैटर्न
• सामान्य ऑब्फस्केशन तकनीकें

उदाहरण आउटपुट

=== Processing: malicious.svg ===
  Wrote temp JS -> /tmp/boxjs_svg_ABC/test.boxed.js
  Running box-js (timeout 30s) with sink hooks...
  [+] box-js finished. Results in: boxjs_out/malicious.svg.boxjs_results

  *** FINAL COMPLETE URLs FOUND ***:
    → https://evil.example.com/[email protected]
  
  Emails found:
    → [email protected]

=== FINAL ANALYSIS SUMMARY ===
🎯 COMPLETE URLs EXTRACTED (1 total):
======================================================
  → https://evil.example.com/[email protected]
======================================================

---

टूल #3: cf_probe.py - Cloudflare सुरक्षा पहचान

उद्देश्य

Cloudflare सुरक्षा तंत्रों का पता लगाने के लिए एक वेब टोही उपकरण, जिसमें Turnstile, CAPTCHA सिस्टम, ब्राउज़र सत्यापन, और रीडायरेक्ट श्रृंखलाओं में अन्य सुरक्षा उपाय शामिल हैं।

मुख्य विशेषताएँ

• रीडायरेक्ट श्रृंखला अनुसरण: HTTP रीडायरेक्ट और मेटा-रिफ्रेश रीडायरेक्ट का स्वचालित रूप से अनुसरण करता है
• एकाधिक पहचान पैटर्न: विभिन्न तरीकों से Turnstile का पता लगाता है
• JavaScript फ़ाइल स्कैनिंग: अतिरिक्त sitekey के लिए लिंक की गई JS फ़ाइलों का विश्लेषण करता है
• कम्प्रेशन समर्थन: gzip, deflate, और brotli कम्प्रेशन को संभालता है
• व्यापक सुरक्षा पहचान: कई Cloudflare सुरक्षा प्रकारों की पहचान करता है

निर्भरताएँ

pip install requests
pip install brotli  # Optional for brotli support

उपयोग

# Check single URL for Cloudflare protections
python3 cf_probe.py https://example.com

# Scan with JavaScript file analysis
python3 cf_probe.py https://example.com --scan-js

# Process multiple URLs from file
python3 cf_probe.py -i urls.txt

# Custom User-Agent and timeout
python3 cf_probe.py https://example.com -A "Custom-Agent" -t 30

# Disable TLS verification (for testing)
python3 cf_probe.py https://example.com --insecure

# Dump HTML/JS for analysis
python3 cf_probe.py https://example.com --dump analysis_dump/

पहचान क्षमताएँ

Turnstile पहचान

• data-sitekey विशेषताएँ
• turnstile.render() JavaScript कॉल
• turnstile.create() JavaScript कॉल
• Turnstile API स्क्रिप्ट संदर्भ
• cf-turnstile CSS क्लास

अन्य Cloudflare सुरक्षा

• कस्टम CAPTCHA सिस्टम
• ब्राउज़र सत्यापन पृष्ठ
• CF चैलेंज कंटेनर
• CF हेडर (CF-Ray, सर्वर हेडर)
• DDoS सुरक्षा संदेश

उदाहरण आउटपुट

=== Redirect/Navigation Chain (3 steps) ===

[0] URL: https://example.com
    Status: 301
    Cloudflare Protection: YES (CF Headers)
    CF Header: cf-ray: 123abc456def789

[1] URL: https://protected.example.com
    Status: 200
    Cloudflare Protection: YES (Turnstile, Custom CAPTCHA)
    Turnstile Site key(s): 0x1AAA000000000000000
    CAPTCHA Evidence: Click the computer to verify

=== Summary ===
Cloudflare Protection Detected: Turnstile with key(s): 0x1AAA000000000000000 | Custom CAPTCHA

---

टूल #4: encoder.py - SVG परीक्षण मामला जनरेटर

उद्देश्य

विश्लेषण उपकरणों के परीक्षण के लिए विभिन्न एन्कोडिंग पैटर्न के साथ ऑब्फस्केटेड SVG फ़ाइलें उत्पन्न करता है।

मुख्य विशेषताएँ

• एकाधिक ऑब्फस्केशन पैटर्न: 6 अलग-अलग एन्कोडिंग तकनीकें
• गतिशील परिवर्तनशीलता: यादृच्छिक वेरिएबल नाम, संरचनाएँ, और एन्कोडिंग पैरामीटर
• यथार्थवादी परीक्षण डेटा: यादृच्छिक डोमेन और ईमेल पते उत्पन्न करता है
• बैच जनरेशन: पूर्ण परीक्षण सूट बना सकता है