⚡ Stegseek

Stegseek는 파일에서 숨겨진 데이터를 추출하는 데 사용할 수 있는 초고속 steghide 크래커입니다. 원래 steghide 프로젝트의 포크로 구축되었으며, 결과적으로 다른 크래커보다 수천 배 빠르며 rockyou.txt* 전체를 2초 미만에 실행할 수 있습니다.

Stegseek는 비밀번호 없이 steghide 메타데이터를 추출하는 데에도 사용할 수 있으며, 이를 통해 파일에 steghide 데이터가 포함되어 있는지 테스트할 수 있습니다.

* rockyou.txt는 1400만 개 이상의 비밀번호가 포함된 잘 알려진 비밀번호 목록입니다.

데모: 무작위 rockyou.txt 비밀번호 (실시간)

일부 원시 숫자는 성능으로 건너뛰세요.

🔧 설치

다음 지침은 설치 과정을 안내합니다. 또는 Docker 컨테이너에서 Stegseek를 실행할 수 있습니다. Docker로 건너뛰어 지침을 확인하세요.

릴리즈

Linux

최신 Ubuntu 및 기타 Debian 기반 시스템에서는 제공된 .deb 패키지를 사용하여 설치할 수 있습니다:

1. 최신 Stegseek 릴리즈를 다운로드하세요.
2. sudo apt install ./stegseek_0.6-1.deb를 사용하여 .deb 파일을 설치하세요.

다른 시스템에서는 Stegseek를 직접 빌드해야 합니다. 자세한 정보는 BUILD.md를 참조하세요.

Windows

안타깝게도 Stegseek를 네이티브 Windows 앱으로 빌드하는 것은 지원되지 않습니다. 대신 WSL을 사용하여 Stegseek를 실행해야 합니다. 최적의 호환성을 위해 Ubuntu WSL 배포판을 권장합니다.
WSL을 구성한 후에는 위의 Linux 지침을 사용하여 Stegseek를 설치할 수 있습니다.

기본적으로 WSL은 C:\ 드라이브를 /mnt/c/에 마운트하므로 파일에 쉽게 액세스할 수 있습니다.

▶️ Stegseek 사용하기

크래킹

stegseek의 가장 중요한 기능은 단어 목록 크래킹입니다:

stegseek [stegofile.jpg] [wordlist.txt]

이 모드는 제공된 단어 목록의 모든 비밀번호를 제공된 스테고 파일에 대해 시도합니다.

탐지 및 비밀번호 없는 추출 (CVE-2021-27211)

Stegseek는 steghide 이미지에서 암호화되지 않은 (메타) 데이터를 탐지하고 추출하는 데에도 사용할 수 있습니다. 이는 steghide에서 사용되는 난수 생성기가 2^32개의 가능한 시드만을 가지며, 이는 몇 분 안에 무차별 대입될 수 있다는 사실을 이용합니다.

stegseek --seed [stegofile.jpg]

이 명령은 다음을 알려줍니다:

• 이 파일에 실제로 steghide 콘텐츠가 포함되어 있는지 여부.
• 파일에 포함된 숨겨진 콘텐츠의 양.
• 콘텐츠가 어떻게 암호화되었는지.

운이 (매우) 좋아서 파일이 암호화 없이 인코딩된 경우, 이 모드는 인코딩된 파일도 복구해 줍니다!

아래 데모는 X-MAS CTF 2020의 챌린지를 특징으로 합니다. 플래그가 안전한 무작위 비밀번호를 사용하여 숨겨졌지만, 암호화는 활성화되지 않았습니다.
몇 분 안에 Stegseek는 올바른 비밀번호를 추측할 필요 없이 임베디드 파일을 복구할 수 있습니다.

사용 가능한 인수

stegseek --help를 사용하여 사용 가능한 전체 옵션 목록을 확인하세요:

=== StegSeek Help ===
To crack a stegofile:
stegseek [stegofile.jpg] [wordlist.txt]

Commands:
 --crack                 Crack a stego file using a wordlist. This is the default mode.
 --seed                  Crack a stego file by attempting all embedding patterns.
                         This mode can be used to detect a file encoded by steghide.
                         In case the file was encoded without encryption, this mode will
                         even recover the embedded file.
Positional arguments:
 --crack [stegofile.jpg] [wordlist.txt] [output.txt]
 --seed  [stegofile.jpg] [output.txt]

Keyword arguments:
 -sf, --stegofile        select stego file
 -wl, --wordlist         select the wordlist file
 -xf, --extractfile      select file name for extracted data
 -t, --threads           set the number of threads. Defaults to the number of cores.
 -f, --force             overwrite existing files
 -v, --verbose           display detailed information
 -q, --quiet             hide performance metrics (can improve performance)
 -s, --skipdefault       don't add guesses to the wordlist (empty password, filename, ...)
 -n, --nocolor           disable colors in output
 -c, --continue          continue cracking after a result has been found.
                         (A stego file might contain multiple embedded files)
 -a, --accessible        simplify the output to be more screen reader friendly

Use "stegseek --help -v" to include steghide's help.

Steghide

Stegseek는 steghide의 거의 모든 기능을 포함하므로 일반적인 방식으로 데이터를 임베드하거나 추출하는 데에도 사용할 수 있습니다. 유일한 주의사항은 명령이 --command 형식을 사용해야 한다는 것입니다.
예를 들어, steghide embed [...]는 stegseek --embed [...]가 됩니다.

위치 인수

• stegseek --embed <data> <coverfile> [<stegofile>]
• stegseek --extract <stegofile> [<output>]

🐳 Docker

Docker 컨테이너로 Stegseek를 실행할 수도 있습니다:

docker run --rm -it -v "$(pwd):/steg" rickdejager/stegseek [stegofile.jpg] [wordlist.txt]

단어 목록과 스테고 파일이 현재 작업 디렉토리에 있어야 합니다. 해당 폴더가 컨테이너 내부의 /steg에 마운트되기 때문입니다.

📈 성능

이 부분이 Stegseek가 진정으로 빛을 발하는 곳입니다. 약속한 대로 "단 2초 만에 rockyou.txt"라는 주장부터 시작해 보겠습니다.
이 모든 수치는 Intel i7-7700HQ CPU @ 2.80GHz 및 8GB RAM을 장착한 랩탑에서 측정되었습니다.

RockYou.txt

제어 문자가 없는 rockyou.txt의 마지막 비밀번호를 선택했습니다: "␣␣␣␣␣␣␣1" (공백 7개 뒤에 '1').
이 비밀번호는 14344391줄 중 14344383번째 줄에 있습니다.

> StegSeek 0.6 - https://github.com/RickdeJager/StegSeek

[i] Found passphrase: "       1"          
[i] Original filename: "secret.txt".
[i] Extracting to "7spaces1.jpg.out".


real	0m1,211s
user	0m9,488s
sys	0m0,084s

그리고 그 결과, 1400만 개 이상의 비밀번호를 2초 미만으로 처리했습니다 😍.

다른 도구와 비교하면?

다른 도구의 성능을 테스트하기 위해 rockyou.txt에서 가져온 다양한 비밀번호로 여러 스테고 파일을 만들었습니다. Stegbrute의 경우 공정한 비교를 위해 스레딩을 늘린 것을 제외하고는 각 도구를 기본 설정으로 실행했습니다.

[p] = 이전 결과를 기반으로 한 예상 시간.

각 도구의 속도를 비교하려면 표의 마지막 행을 살펴보세요 (그렇지 않으면 스레드가 모두 시작되기 전에 Stegseek가 완료됩니다).

이 규모에서 Stegseek는 Stegcracker보다 12,000배 이상 빠르고 Stegbrute보다 7000배 이상 빠릅니다.

📓 변경 로그

v0.6

2021-04-18
개선 사항:

• 큰 팔레트를 가진 파일에 대한 BMP 크래킹 수정.
• 여러 숨겨진 파일을 검색하기 위한 --continue 플래그 추가.
• CLI를 스크린 리더에 더 친숙하게 만드는 --accessible 플래그 추가.
• CLI를 더 일관되게 만들고 색상 추가.
• --crack 및 --seed가 이제 스크립팅을 용이하게 하기 위해 적절한 종료 코드를 반환.
• 메트릭에 대한 성능 오버헤드 감소.
• 기본 빌드를 위한 컴파일러 플래그 수정.

v0.5

2020-12-28
개선 사항:

• 훨씬 적은 메모리 사용 (메모리 사용량이 더 이상 단어 목록 길이에 비례하지 않음)
• 단어 목록이 즉시 로드되므로 즉시 크래킹을 시작할 수 있습니다.
• --seed에서 높은 오탐률 수정

v0.4

2020-12-01
개선 사항:

• 비밀번호 없는 데이터 추출을 위한 시드 크래킹 추가
• 위치 인수를 허용하도록 파서 개편
• 2초 만에 rockyou.txt 크래킹

v0.4.1

2020-12-23
드물게 stegseek가 비밀번호를 찾지 못하는 버그 수정.

v0.3

2020-11-08
개선 사항:

• 여러 스레드가 더 효율적으로 사용되도록 스레딩을 락-프리로 변경
• 추출된 파일의 위치를 지정하는 --crack에 -xf 인수 추가
• .deb 패키지를 Debian/Kali와 호환되도록 변경
• 4초 만에 rockyou.txt 크래킹

v0.2

2020-11-05
개선 사항:

• 매직의 단일 비트 디코딩 실패 시 암호 포기
• 비용이 많이 드는 BitString/EmbData 할당 제거
• 선택기 성능 향상
• 5초 만에 rockyou.txt 크래킹

v0.1

2020-11-04
초기 릴리즈, 기능:

• 기존 크래커와 달리 스테고 파일을 한 번만 로드
• 작업 풀 기반 스레딩
• 전체 복호화를 시도하기 전에 처음 3바이트를 먼저 크래킹 시도
• .deb 패키지 및 도커 컨테이너 추가
• 41초 만에 rockyou.txt 크래킹