Steganography Toolkit

이 프로젝트는 hackthebox.eu 같은 CTF 플랫폼에서 만날 수 있는 스테가노그래피 문제를 해결하는 데 유용한 Docker 이미지입니다. 이미지에는 많은 인기 도구(아래 목록 참조)와 몇 가지 간단한 검사를 실행할 수 있는 스크리닝 스크립트가 사전 설치되어 있습니다(예: check_jpg.sh image.jpg를 실행하면 JPG 파일에 대한 보고서를 얻을 수 있습니다).

사용법

먼저 Docker가 설치되어 있는지 확인하세요 (설치 방법). 그런 다음 이 저장소의 셸 스크립트 bin/build.sh와 bin/run.sh를 사용하여 이미지를 빌드하고 컨테이너를 실행할 수 있습니다. 그러면 컨테이너 내부의 bash 셸로 이동됩니다. data 폴더가 마운트되어 있으며, 분석할 파일을 넣을 수 있습니다.

스크립트를 사용하지 않는다면 다음 단계를 따르세요:

1. 이미지 빌드 (docker build -t <image_name> .) 또는 Docker hub에서 가져오기 (docker pull dominicbreuker/stego-toolkit)
2. /data 폴더에 파일을 마운트하여 컨테이너 시작 (docker run -it <image_name> -v /local/folder/with/data:/data /bin/bash)
3. 파일에 대해 CLI 도구 및 스크리닝 스크립트 사용: 예: check_jpg.sh image.jpg를 실행하여 빠른 보고서 작성, 또는 brute_jpg.sh image.jpg wordlist.txt를 실행하여 다양한 도구와 비밀번호로 숨겨진 데이터 추출 시도
4. GUI 도구를 실행하려면 다음 두 가지 방법 중 하나를 사용하세요:

• start_ssh.sh를 실행하고 X11 포워딩으로 컨테이너에 연결
• start_vnc.sh를 실행하고 브라우저를 통해 컨테이너의 데스크탑에 연결

자세한 내용은 다음 섹션을 확인하세요:

• 어떤 도구가 설치되어 있나요? 여기로 이동
• 파일을 자동으로 빠르게 스캔하거나 무차별 대입 공격을 할 수 있는 스크립트는 무엇인가요? 여기로 이동
• 다양한 스테가노그래피 예제로 직접 실험해 볼 수 있나요? 여기로 이동
• 컨테이너 내에서 GUI 도구를 어떻게 실행하나요? 여기로 이동

데모

docker run -it --rm -v $(pwd)/data:/data dominicbreuker/stego-toolkit /bin/bash로 시작합니다. 그러면 작업 디렉토리 /data에 있는 컨테이너 셸로 이동됩니다. 호스트 폴더 $(pwd)/data가 마운트되고 그 안의 이미지에 접근할 수 있습니다.

도구

다양한 Linux 및 Windows 도구가 설치되어 있습니다. Windows 도구는 Wine을 통해 지원됩니다. 일부 도구는 명령줄에서 사용할 수 있고, 다른 도구는 GUI 지원이 필요합니다!

명령줄 인터페이스 도구

이 도구들은 명령줄에서 사용할 수 있습니다. 컨테이너를 시작하고 확인하려는 스테가노그래피 파일을 마운트하기만 하면 됩니다.

일반 스크리닝 도구

초기에 실행할 도구입니다. 무엇을 다루고 있는지에 대한 대략적인 아이디어를 얻을 수 있습니다.

스테가노그래피 탐지 도구

파일에서 스테가노그래피를 탐지하도록 설계된 도구입니다. 대부분 통계 테스트를 수행합니다. 간단한 경우에만 숨겨진 메시지를 드러냅니다. 그러나 흥미로운 불규칙성을 발견하면 무엇을 찾아야 할지에 대한 힌트를 제공할 수 있습니다.

실제 스테가노그래피를 수행하는 도구

메시지를 숨기고 나중에 복구하는 데 사용할 수 있는 도구입니다. 일부는 메시지를 숨기기 전에 암호화합니다. 암호화하는 경우 비밀번호가 필요합니다. 어떤 종류의 도구가 사용되었는지 또는 어떤 비밀번호가 맞을지에 대한 힌트가 있다면 이 도구들을 사용해 보세요. 일부 도구는 이 Docker 이미지에서 사용 가능한 무차별 대입 스크립트에 의해 지원됩니다.

스테가노그래피 GUI 도구

아래의 모든 도구는 그래픽 사용자 인터페이스를 가지며 명령줄을 통해 사용할 수 없습니다. 실행하려면 컨테이너 내부에서 X11 서버를 사용할 수 있도록 해야 합니다. 두 가지 방법이 지원됩니다:

• start_ssh.sh를 실행하여 SSH 서버를 시작합니다. 그런 다음 X11 포워딩으로 연결합니다. 호스트에 X11 서버가 필요합니다!
• start_vnc.sh를 실행하여 VNC 서버 + 클라이언트를 시작합니다. 그런 다음 브라우저로 포트 6901에 연결하면 Xfce 데스크탑이 나타납니다. 호스트 종속성이 없습니다!

또는 컨테이너 내에서 X11을 사용할 수 있게 하는 다른 방법을 찾으십시오. 다양한 방법이 가능합니다 (예: UNIX 소켓 마운트).

스크리닝 스크립트

위의 많은 도구는 GUI와의 상호 작용이 필요하지 않습니다. 따라서 잠재적으로 숨겨진 메시지가 포함된 파일을 기본적으로 스크리닝하는 일부 워크플로우를 쉽게 자동화할 수 있습니다. 적용 가능한 도구는 파일 형식에 따라 다르므로 각 파일 형식에 대해 다른 스크립트가 있습니다.

각 파일 형식에는 두 가지 종류의 스크립트가 있습니다:

• XXX_check.sh <stego-file>: 기본 스크리닝 도구를 실행하고 보고서를 생성합니다 (+ 파일에 보고서가 있는 디렉토리가 생성될 수 있음)
• XXX_brute.sh <stego-file> <wordlist>: 다양한 도구를 사용하여 스테고 파일에서 숨겨진 메시지를 추출하려고 시도하며 워드리스트를 사용합니다 (cewl, john 및 crunch가 설치되어 목록을 생성합니다 - 작게 유지하세요).

다음 파일 형식이 지원됩니다:

• JPG: check_jpg.sh 및 brute_jpg.sh (무차별 대입: steghide, outguess, outguess-0.13, stegbreak, stegoveritas.py -bruteLSB)
• PNG: check_png.sh 및 brute_png.sh (무차별 대입: openstego 및 stegoveritas.py -bruteLSB)

워드리스트 생성

위의 무차별 대입 스크립트에는 워드리스트가 필요합니다. 제 생각에는 rockyou와 같은 거대한 표준 워드리스트를 사용하는 것이 도움이 될 가능성이 매우 낮습니다. 스크립트가 너무 느리고 스테고 챌린지가 이를 위해 설계된 것 같지 않습니다. 더 가능성 있는 시나리오는 비밀번호가 무엇인지 짐작은 가지만 정확히 알지 못하는 경우입니다.

이러한 경우 워드리스트를 생성하는 여러 도구가 포함되어 있습니다:

• john: 커뮤니티 강화 버전의 John the Ripper는 워드리스트를 확장할 수 있습니다. 몇 가지 후보 비밀번호로 기본 워드리스트를 만들고 john을 사용하여 다양한 변형을 만듭니다. john -wordlist:/path/to/your/wordlist -rules:Single -stdout > /path/to/expanded/wordlist를 사용하여 광범위한 규칙(~x1000)을 적용하고 john -wordlist:/path/to/your/wordlist -rules:Wordlist -stdout > /path/to/expanded/wordlist를 사용하여 축소된 규칙 세트(~x50)를 적용합니다.
• crunch: 패턴이 염두에 있는 경우 작은 워드리스트를 생성할 수 있습니다. 예를 들어 비밀번호가 1984로 끝나고 6글자라는 것을 알고 있다면 crunch 6 6 abcdefghijklmnopqrstuvwxyz -t @@1984를 사용하면 26 * 26 = 676개의 비밀번호 aa1984, ab1984, ..., zz1984가 생성됩니다. 형식은 crunch <min-length> <max-length> <charset> <options>이며 템플릿 옵션을 사용했습니다. less /usr/share/crunch/charset.lst를 확인하여 crunch와 함께 제공되는 문자 세트를 확인하십시오.
• CeWL: 비밀번호와 관련된 웹사이트를 알고 있는 경우 워드리스트를 생성할 수 있습니다. 예를 들어 Donald Trump의 사진에 암호화된 숨겨진 메시지가 있다고 의심되면 cewl -d 0 -m 8 https://en.wikipedia.org/wiki/Donald_Trump를 실행하십시오. 이 명령은 사이트를 스크래핑하고 최소 8자 길이의 문자열을 추출합니다.

스테가노그래피 예제

이미지에는 각각 다른 형식의 샘플 이미지 및 오디오 파일이 포함되어 있습니다:

• /examples/ORIGINAL.jpg
• /examples/ORIGINAL.png
• /examples/ORIGINAL.mp3
• /examples/ORIGINAL.wav

또한 스크립트 /examples/create_examples.sh가 포함되어 있습니다. 이 스크립트를 실행하면 다양한 방법으로 이 파일들에 숨겨진 메시지("This is a very secret message!")를 포함할 수 있습니다. 이 스크립트를 실행하면 /examples/stego-files에서 파일 이름에 메시지를 포함하는 데 사용된 도구가 표시된 파일을 찾을 수 있습니다. 스크리닝 스크립트를 실행하여 파일에 대해 무언가를 찾는지 확인하거나 다른 방법으로 해독해 볼 수 있습니다.

GUI 및 컨테이너

기본적으로 Docker 컨테이너에서는 X11 서버를 사용할 수 없으므로 GUI 도구를 실행할 수 없습니다. 실행하려면 이를 변경해야 합니다. 필요한 것은 호스트 시스템에 따라 다릅니다. 만약:

• Linux를 사용하는 경우, 아마 X11이 있을 것입니다.
• Mac OS를 사용하는 경우, Xquartz가 필요합니다 (brew install Xquartz).
• Windows를 사용하는 경우, 문제가 있습니다.

이 방법을 사용하려면 SSH를 통한 X11 포워딩을 사용하십시오. 컨테이너 내에서 start_ssh를 실행하여 서버를 시작하고, 컨테이너를 시작할 때 포트 22를 노출해야 합니다: docker run -p 127.0.0.1:22:22 ..., 그런 다음 연결할 때 ssh -X ...를 사용하십시오 (스크립트가 비밀번호를 출력합니다).

X11에 의존하지 않도록 이미지에는 TigerVNC 서버와 noVNC 클라이언트가 포함되어 있습니다. 이것을 사용하여 브라우저로 HTML5 VNC 세션을 열고 컨테이너의 Xfce 데스크탑에 연결할 수 있습니다. 이를 위해 컨테이너 내에서 start_vnc.sh를 실행하여 서버와 클라이언트를 시작하고, 컨테이너를 시작할 때 포트 6901을 노출해야 합니다: docker run -p 127.0.0.1:6901:6901 ..., 그런 다음 localhost:6901/?password=<password_from_start_vnc>로 이동하십시오 (스크립트가 비밀번호를 출력합니다).

SSH와 X11 포워딩 사용

GIF 명령어 (복사 및 붙여넣기용):

# 1번째 호스트 셸
docker run -it --rm -p 127.0.0.1:22:22 dominicbreuker/stego-toolkit /bin/bash

# 컨테이너 셸 내부
start_ssh.sh

# 2번째 호스트 셸 (이후 GUI 앱 실행에 사용)
ssh -X -o UserKnownHostsFile=/dev/null -o StrictHostKeyChecking=no root@localhost

브라우저와 VNC 사용

GIF 명령어 (복사 및 붙여넣기용):

# 1번째 호스트 셸
docker run -it --rm -p 127.0.0.1:6901:6901 dominicbreuker/stego-toolkit /bin/bash

# 컨테이너 셸 내부
start_vnc.sh

# 브라우저에서 http://localhost:6901/?password=<start_vnc의 비밀번호> 로 연결

링크 모음

유용한 스테가노그래피 링크 모음입니다:

• 코드를 식별할 수 있어야 합니다. Eric Harshbarger의 치트 시트를 확인하세요. 다양한 코드가 포함되어 있습니다.
• 워크플로우, 확인할 사항 및 일반적인 도구를 설명하는 치트 시트: 클릭
• 스테고 챌린지에 대한 많은 아이디어가 포함된 포렌식 CTF 가이드: 클릭
• 아름다운 포스터 형태의 파일 형식 설명: 클릭

참고 자료

다음 예제 미디어 파일이 이 저장소에 포함되어 있습니다:

• 데모 이미지 (JPG, PNG): https://pixabay.com/p-1685092
• 데모 사운드 파일 (MP3, WAV): https://upload.wikimedia.org/wikipedia/commons/c/c5/Auphonic-wikimedia-test-stereo.ogg --- debuglevel 작성 (자체 작업) [CC BY-SA 3.0 (https://creativecommons.org/licenses/by-sa/3.0)], Wikimedia Commons를 통해