shotlooter

Introduzione

Lo strumento Shotlooter è sviluppato per trovare dati sensibili all'interno degli screenshot caricati su https://prnt.sc/ (tramite il software LightShot) applicando metodi di OCR e elaborazione delle immagini.

                                                              +-------------------+
    IMAGE FILE                                                |#!/usr/bin/python  |
+--------------------+                                        |                   +----->SENSITIVE
|prnt.sc/sjgmm5      |                                        |Search for:        |
+--------------------+                                        |                   |
|      _             |      CONVERTS          STRING          |sensitive keywords |
|  .-.-.=\-          |      +-------+     +------------+      |                   |
|  (_)=='(_)         |      |       |     |            |      |high entropy       |
|              .._\  +----->+  OCR  +---->+ TEXTTEXTT  +----->+                   |
|             (o)(o) |      |       |     |            |      |credit card pattern+----->NOT SENSITIVE
|   TEXTTEXTTEX      |      +-------+     +------------+      |                   |
|                    |                                        +-------------------+
+--------------+------+
               |                 +-----------------------+
               v                 |#!/usr/bin/python      |
SMALLER         IMAGES           |                       +------>SENSITIVE
+-------------+ +------------+   |Image processing:      |
|    _        | |    .._\    |   |                       |
| .-.-.=\-    | |   (o)(o)   +-->+ Does it contain:      |
| (_)=='(_)   | |            |   |   ~~O                 |
+-------------+ +------------+   |    /\,                |
                                 |   -|~(*)              +------>NOT SENSITIVE
                                 |  (*)                  |
                                 +-----------------------+

Come funziona?

1. Partendo dall'ID immagine fornito, Shotlooter scorre le immagini (sì, gli ID immagine non sono casuali) e le scarica localmente.
2. Converte il testo all'interno dell'immagine utilizzando la libreria OCR Tesseract.
3. Cerca parole chiave predefinite nell'immagine (private_key,smtp_pass,access key,mongodb+srv ecc.)
4. Cerca stringhe con alta entropia (le chiavi API di solito hanno alta entropia)
5. Cerca piccole immagini (ad esempio il logo di Lastpass) all'interno dell'immagine scaricata (Template Matching) con OpenCV.
6. Salva i risultati in un file CSV
7. Salva le immagini che contengono dati sensibili nella cartella output

Installazione

Shotlooter richiede Python3 e pip3 per funzionare ed è stato testato su macOS e sistemi Linux basati su Debian.

Installazione delle dipendenze per macOS: brew install tesseract

Installazione delle dipendenze per Debian Linux: sudo apt install libsm6 libxext6 libxrender-dev tesseract-ocr -y

Clona il repository:

git clone https://github.com/utkusen/shotlooter.git

Entra nella cartella

cd shotlooter

Installa le librerie richieste

pip3 install -r requirements.txt

Utilizzo

Utilizzo base: python3 shotlooter.py --code PRNT.SC_ID

Cerca parole chiave corrispondenti (situate in keywords.txt), stringhe ad alta entropia e numeri di carte di credito. Puoi trovare un ID caricando un'immagine su https://prnt.sc/. Ad esempio python3 shotlooter.py --code sjgmm5

Controllerà gli ID incrementandoli uno per uno:

sjgmm6
sjgmm7
sjgmm8
sjgmm9
sjgmma
sjgmmb
...

Ricerca per immagini: python3 shotlooter.py --code sjgmm5 --imagedir IMAGE_FOLDER_PATH

Cercherà gli elementi coperti dall'utilizzo base + cercherà piccole immagini fornite negli screenshot più grandi. Se hai intenzione di utilizzare questa funzione, metti le tue piccole immagini nella cartella img.

Escludi ricerca: Puoi escludere qualsiasi tipo di ricerca fornendo l'argomento corrispondente: --no-cc, --no-entropy, --no-keyword

Ad esempio: python3 shotlooter.py --code sjgmm5 --no-entropy. Shotlooter salterà il controllo delle stringhe ad alta entropia.

Una nota sui falsi positivi

Shotlooter ha un alto tasso di falsi positivi per il riconoscimento di stringhe ad alta entropia e carte di credito. In realtà non sono falsi positivi ma potrebbero non essere gli elementi che stai cercando. Rileva stringhe ad alta entropia per catturare chiavi API, chiavi private, ecc. Tuttavia, qualsiasi stringa casuale non sensibile avrà anch'essa un'alta entropia e Shotlooter la rileverà. Lo stesso vale per le carte di credito.

Se non vuoi avere a che fare con falsi positivi, escludi le ricerche di entropia e carte di credito.

Cosa dovresti aspettarti di trovare?

Ho eseguito Shotlooter per 2 settimane e identificato oltre 300 immagini che contengono vari dati sensibili. Puoi consultare i risultati che ho incontrato più frequentemente qui sotto:

Richieste Postman

Contiene ID di sessione utili, token di accesso, ecc.

Chiavi API Cloud (Google, AWS)

Gli screenshot sono presi dalla console del cloud o da un client desktop

ID di sessione nell'URL

Sappiamo tutti che non è buona norma passare l'ID di sessione con una richiesta GET per vari motivi. Questo è uno di questi.

Credenziali in fogli Excel

Ad alcune persone piace usare Excel come gestore di password.

Chiavi private Bitcoin (Questo è terribile)

I portafogli Bitcoin ti permettono di esportare la tua chiave privata per importarla altrove. Ma se pubblichi lo screenshot della tua chiave privata, l'intero portafoglio può essere compromesso.