Kit de Ferramentas de Esteganografia

Este projeto é uma imagem Docker útil para resolver desafios de Esteganografia como os que você pode encontrar em plataformas CTF como hackthebox.eu. A imagem vem pré-instalada com muitas ferramentas populares (veja a lista abaixo) e vários scripts de triagem que você pode usar para verificar coisas simples (por exemplo, execute check_jpg.sh image.jpg para obter um relatório para um arquivo JPG).

Uso

Primeiro, certifique-se de ter o Docker instalado (como instalar). Em seguida, você pode usar os scripts de shell bin/build.sh e bin/run.sh neste repositório para construir a imagem e executar o contêiner. Você será colocado em um shell bash dentro do contêiner. Ele terá a pasta data montada, na qual você pode colocar os arquivos para analisar.

Se você não usar os scripts, siga estes passos:

1. Construir a imagem (docker build -t <image_name> .) ou baixar do Docker hub (docker pull dominicbreuker/stego-toolkit)
2. Iniciar um contêiner com seus arquivos montados na pasta /data (docker run -it <image_name> -v /local/folder/with/data:/data /bin/bash)
3. Use ferramentas de linha de comando e scripts de triagem em seus arquivos: por exemplo, execute check_jpg.sh image.jpg para criar um relatório rápido, ou execute brute_jpg.sh image.jpg wordlist.txt para tentar extrair dados ocultos com várias ferramentas e senhas
4. Se quiser executar ferramentas GUI, use uma destas duas formas:

• Execute start_ssh.sh e conecte-se ao seu contêiner com encaminhamento X11
• Execute start_vnc.sh e conecte-se à Área de Trabalho do contêiner através do seu navegador

Confira as seguintes seções para mais informações:

• Quais ferramentas estão instaladas? Vá aqui
• Quais scripts posso executar para triar rapidamente arquivos automaticamente ou forçá-los? Vá aqui
• Como posso brincar com diferentes exemplos de Esteganografia para ver se consigo quebrá-los? Vá aqui
• Como posso executar ferramentas GUI dentro do contêiner? Vá aqui

Demonstração

Inicie com docker run -it --rm -v $(pwd)/data:/data dominicbreuker/stego-toolkit /bin/bash. Você será colocado em um shell do contêiner no diretório de trabalho /data. Sua pasta host $(pwd)/data será montada e as imagens dentro dela estarão acessíveis.

Ferramentas

Muitas ferramentas diferentes Linux e Windows estão instaladas. As ferramentas Windows são suportadas com Wine. Algumas ferramentas podem ser usadas na linha de comando, enquanto outras exigem suporte GUI!

Ferramentas de linha de comando

Estas ferramentas podem ser usadas na linha de comando. Tudo o que você precisa fazer é iniciar um contêiner e montar os arquivos de esteganografia que deseja verificar.

Ferramentas gerais de triagem

Ferramentas para executar no início. Permitem que você tenha uma ideia geral do que está lidando.

Ferramentas de detecção de esteganografia

Ferramentas projetadas para detectar esteganografia em arquivos. Na maioria, realizam testes estatísticos. Elas revelarão mensagens ocultas apenas em casos simples. No entanto, podem fornecer pistas sobre o que procurar se encontrarem irregularidades interessantes.

Ferramentas que realmente fazem esteganografia

Ferramentas que você pode usar para ocultar mensagens e revelá-las depois. Algumas criptografam as mensagens antes de ocultá-las. Se o fizerem, exigem uma senha. Se você tem uma dica de que tipo de ferramenta foi usada ou qual senha pode estar correta, tente estas ferramentas. Algumas ferramentas são suportadas pelos scripts de força bruta disponíveis nesta imagem Docker.

Ferramentas GUI de Esteganografia

Todas as ferramentas abaixo possuem interfaces gráficas de usuário e não podem ser usadas pela linha de comando. Para executá-las, você deve disponibilizar um servidor X11 dentro do contêiner. Duas formas são suportadas:

• Execute start_ssh.sh para iniciar um servidor SSH. Conecte-se depois com encaminhamento X11. Requer um servidor X11 em seu host!
• Execute start_vnc.sh para iniciar um servidor VNC + cliente. Conecte-se depois com seu navegador à porta 6901 e você terá uma área de trabalho Xfce. Sem dependências no host!

Alternativamente, encontre outras formas de disponibilizar X11 dentro do contêiner. Muitas formas diferentes são possíveis (por exemplo, montar sockets UNIX).

Scripts de triagem

Muitas ferramentas acima não requerem interação com uma GUI. Portanto, você pode automatizar facilmente alguns fluxos de trabalho para fazer uma triagem básica de arquivos potencialmente contendo mensagens ocultas. Como as ferramentas aplicáveis diferem por tipo de arquivo, cada tipo de arquivo tem scripts diferentes.

Para cada tipo de arquivo, existem dois tipos de scripts:

• XXX_check.sh <stego-file>: executa ferramentas básicas de triagem e cria um relatório (+ possivelmente um diretório com relatórios em arquivos)
• XXX_brute.sh <stego-file> <wordlist>: tenta extrair uma mensagem oculta de um arquivo estego com várias ferramentas usando uma wordlist (cewl, john e crunch estão instalados para gerar listas - mantenha-as pequenas).

Os seguintes tipos de arquivo são suportados:

• JPG: check_jpg.h e brute_jpg.sh (força bruta executando steghide, outguess, outguess-0.13, stegbreak, stegoveritas.py -bruteLSB)
• PNG: check_png.h e brute_png.sh (força bruta executando openstego e stegoveritas.py -bruteLSB)

Geração de wordlists

Os scripts de força bruta acima precisam de wordlists. Na minha opinião, provavelmente não ajudará usar wordlists padrão enormes como rockyou. Os scripts são muito lentos para isso e os desafios de estego parecem não ser projetados para isso. Um cenário mais provável é que você tenha um palpite sobre qual poderia ser a senha, mas não sabe exatamente.

Para esses casos, várias ferramentas para gerar wordlists estão incluídas:

• john: a versão aprimorada pela comunidade do John the Ripper pode expandir suas wordlists. Crie uma wordlist base com algumas senhas candidatas e use john para criar muitas variações delas. Use john -wordlist:/path/to/your/wordlist -rules:Single -stdout > /path/to/expanded/wordlist para aplicar regras extensas (~x1000) john -wordlist:/path/to/your/wordlist -rules:Wordlist -stdout > /path/to/expanded/wordlist para um conjunto reduzido de regras (~x50).
• crunch: pode gerar wordlists pequenas se você tiver um padrão em mente. Por exemplo, se você sabe que a senha termina com 1984 e tem 6 letras, use crunch 6 6 abcdefghijklmnopqrstuvwxyz -t @@1984 gerará as 26 * 26 = 676 senhas aa1984, ab1984, ... até zz1984. O formato é crunch <min-length> <max-length> <charset> <options> e usamos a opção de modelo. Confira less /usr/share/crunch/charset.lst para ver os conjuntos de caracteres que o crunch fornece.
• CeWL: pode gerar wordlists se você souber que um site está relacionado a uma senha. Por exemplo, execute cewl -d 0 -m 8 https://en.wikipedia.org/wiki/Donald_Trump se suspeitar que uma imagem de Donald Trump contém uma mensagem oculta criptografada. O comando raspa o site e extrai strings com pelo menos 8 caracteres.

Exemplos de Esteganografia

A imagem contém uma imagem de exemplo e um arquivo de áudio, cada um em diferentes formatos:

• /examples/ORIGINAL.jpg
• /examples/ORIGINAL.png
• /examples/ORIGINAL.mp3
• /examples/ORIGINAL.wav

Também contém um script /examples/create_examples.sh que você pode executar para embutir uma mensagem oculta ("This is a very secret message!") nesses arquivos com muitos métodos diferentes. Após executar este script, você encontrará esses arquivos em /examples/stego-files com seus nomes indicando qual ferramenta foi usada para embutir a mensagem. Você pode executar os scripts de triagem para ver se eles encontram algo neles ou tentar quebrá-los de outra forma.

GUI e Contêineres

Por padrão, nenhuma ferramenta GUI pode ser executada em um contêiner Docker, pois nenhum servidor X11 está disponível. Para executá-las, você deve mudar isso. O que é necessário para fazer isso depende da sua máquina host. Se você:

• executar no Linux, provavelmente tem X11
• executar no Mac OS, precisa do Xquartz (brew install Xquartz)
• executar no Windows, você tem um problema

Use encaminhamento X11 através de SSH se quiser ir por esse caminho. Execute start_ssh dentro do contêiner para iniciar o servidor, certifique-se de expor a porta 22 ao iniciar o contêiner: docker run -p 127.0.0.1:22:22 ..., depois use ssh -X ... ao conectar (o script imprime a senha).

Para não depender de X11, a imagem vem com um servidor TigerVNC e cliente noVNC. Você pode usá-lo para abrir uma sessão VNC HTML5 com seu navegador para se conectar à área de trabalho Xfce do contêiner. Para isso, execute start_vnc.sh dentro do contêiner para iniciar servidor e cliente, certifique-se de expor a porta 6901 ao iniciar o contêiner docker run -p 127.0.0.1:6901:6901 ... e vá para localhost:6901/?password=<a_senha> (o script imprime a senha).

Usando SSH com encaminhamento X11

Comandos no GIF para copiar e colar:

# in 1st host shell
docker run -it --rm -p 127.0.0.1:22:22 dominicbreuker/stego-toolkit /bin/bash

# inside container shell
start_ssh.sh

# in 2nd host shell (use it to launch GUI apps afterwards)
ssh -X -o UserKnownHostsFile=/dev/null -o StrictHostKeyChecking=no root@localhost

Usando Navegador e VNC

Comandos no GIF para copiar e colar:

# in 1st host shell
docker run -it --rm -p 127.0.0.1:6901:6901 dominicbreuker/stego-toolkit /bin/bash

# inside container shell
start_vnc.sh

# in browser, connect with: http://localhost:6901/?password=<password_from_start_vnc>

Coleção de links

Esta é uma coleção de links úteis de Esteganografia:

• Você deve ser capaz de identificar códigos. Confira esta folha de dicas de Eric Harshbarger, que contém muitos códigos diferentes.
• Folha de dicas descrevendo fluxos de trabalho, coisas a procurar e ferramentas comuns: clique
• Guia de CTF Forense com muitas ideias para desafios de estego: clique
• Descrições de formatos de arquivo como belos pôsteres: clique

Referências

Os seguintes arquivos de mídia de exemplo estão incluídos neste repositório:

• Imagem de demonstração (JPG, PNG): https://pixabay.com/p-1685092
• Arquivo de som de demonstração (MP3, WAV): https://upload.wikimedia.org/wikipedia/commons/c/c5/Auphonic-wikimedia-test-stereo.ogg --- Por debuglevel (Trabalho próprio) [CC BY-SA 3.0 (https://creativecommons.org/licenses/by-sa/3.0)], via Wikimedia Commons