⚡ Stegseek

Stegseek é um cracker de steghide extremamente rápido que pode ser usado para extrair dados ocultos de arquivos. Ele é construído como um fork do projeto steghide original e, como resultado, é milhares de vezes mais rápido que outros crackers e pode percorrer a totalidade de rockyou.txt* em menos de 2 segundos.

Stegseek também pode ser usado para extrair metadados do steghide sem uma senha, o que pode ser usado para testar se um arquivo contém dados do steghide.

* rockyou.txt é uma lista de senhas bem conhecida com mais de 14 milhões de senhas.

Demonstração: senha aleatória do rockyou.txt (em tempo real)

Pule para Desempenho para alguns números brutos.

🔧 Instalação

As instruções a seguir guiarão você pelo processo de instalação. Alternativamente, você pode executar o Stegseek em um contêiner Docker. Pule para Docker para obter instruções.

Lançamentos

Linux

Em sistemas Ubuntu recentes e outros baseados em Debian, você pode usar o pacote .deb fornecido para instalação:

1. Baixe a versão mais recente do Stegseek
2. Instale o arquivo .deb usando sudo apt install ./stegseek_0.6-1.deb

Em outros sistemas, você terá que compilar o Stegseek por conta própria. Veja BUILD.md para mais informações.

Windows

Infelizmente, a compilação do Stegseek como um aplicativo nativo do Windows não é suportada. Em vez disso, você deve executar o Stegseek usando o WSL. A distribuição Ubuntu WSL é recomendada para compatibilidade ideal.
Depois de configurar o WSL, o Stegseek pode ser instalado usando as instruções do Linux acima.

Por padrão, o WSL monta a unidade C:\ em /mnt/c/, que você pode usar para acessar facilmente seus arquivos.

▶️ Usando o Stegseek

Quebra de senha (Cracking)

A característica mais importante do stegseek é a quebra de senha com lista de palavras:

stegseek [stegofile.jpg] [wordlist.txt]

Este modo simplesmente tentará todas as senhas na lista de palavras fornecida contra o steghide fornecido.

Detecção e extração sem senha (CVE-2021-27211)

Stegseek também pode ser usado para detectar e extrair quaisquer dados (meta) não criptografados de uma imagem steghide. Isso explora o fato de que o gerador de números aleatórios usado no steghide tem apenas 2^32 sementes possíveis, que podem ser bruteforçadas em questão de minutos.

stegseek --seed [stegofile.jpg]

Este comando informará:

• Se este arquivo realmente contém conteúdo steghide.
• Quanto conteúdo oculto o arquivo contém.
• Como o conteúdo foi criptografado .

Se você tiver (muita) sorte e o arquivo foi codificado sem criptografia, este modo até recuperará o arquivo codificado para você!

A demonstração abaixo apresenta um desafio do X-MAS CTF 2020. Uma flag foi oculta usando uma senha aleatória segura, mas sem criptografia ativada. Em poucos minutos, o Stegseek consegue recuperar o arquivo incorporado sem precisar adivinhar a senha correta.

Argumentos disponíveis

Use stegseek --help para obter a lista completa de opções disponíveis:

=== StegSeek Help ===
To crack a stegofile:
stegseek [stegofile.jpg] [wordlist.txt]

Commands:
 --crack                 Crack a stego file using a wordlist. This is the default mode.
 --seed                  Crack a stego file by attempting all embedding patterns.
                         This mode can be used to detect a file encoded by steghide.
                         In case the file was encoded without encryption, this mode will
                         even recover the embedded file.
Positional arguments:
 --crack [stegofile.jpg] [wordlist.txt] [output.txt]
 --seed  [stegofile.jpg] [output.txt]

Keyword arguments:
 -sf, --stegofile        select stego file
 -wl, --wordlist         select the wordlist file
 -xf, --extractfile      select file name for extracted data
 -t, --threads           set the number of threads. Defaults to the number of cores.
 -f, --force             overwrite existing files
 -v, --verbose           display detailed information
 -q, --quiet             hide performance metrics (can improve performance)
 -s, --skipdefault       don't add guesses to the wordlist (empty password, filename, ...)
 -n, --nocolor           disable colors in output
 -c, --continue          continue cracking after a result has been found.
                         (A stego file might contain multiple embedded files)
 -a, --accessible        simplify the output to be more screen reader friendly

Use "stegseek --help -v" to include steghide's help.

Steghide

Stegseek inclui quase todas as funcionalidades do steghide, portanto, também pode ser usado para incorporar ou extrair dados normalmente. A única ressalva é que os comandos devem usar o formato --command.
Por exemplo, steghide embed [...] se torna stegseek --embed [...] .

Argumentos posicionais

• stegseek --embed <data> <coverfile> [<stegofile>]
• stegseek --extract <stegofile> [<output>]

🐳 Docker

Você também pode executar o Stegseek como um contêiner Docker:

docker run --rm -it -v "$(pwd):/steg" rickdejager/stegseek [stegofile.jpg] [wordlist.txt]

Isso exige que a wordlist e o stegofile estejam localizados no diretório de trabalho atual, pois essa pasta é montada em /steg dentro do contêiner.

📈 Desempenho

É aqui que o Stegseek realmente brilha. Como prometido, vamos começar com a afirmação de "rockyou.txt em apenas 2 segundos".
Todos esses números foram medidos em um laptop com CPU Intel i7-7700HQ @ 2.80GHz e 8 GB de RAM.

RockYou.txt

Eu escolhi a última senha em rockyou.txt sem caracteres de controle: "␣␣␣␣␣␣␣1" (7 espaços seguidos por '1').
Esta senha está na linha 14344383 de 14344391

> StegSeek 0.6 - https://github.com/RickdeJager/StegSeek

[i] Found passphrase: "       1"          
[i] Original filename: "secret.txt".
[i] Extracting to "7spaces1.jpg.out".


real	0m1,211s
user	0m9,488s
sys	0m0,084s

E aí está, mais de 14 milhões de senhas em menos de 2 segundos 😍.

Como isso se compara a outras ferramentas?

Para testar o desempenho de outras ferramentas, criei vários arquivos stego com senhas diferentes, retiradas do rockyou.txt. Executei cada uma das ferramentas com suas configurações padrão, exceto o Stegbrute, onde aumentei o threading para uma comparação justa.

[p] = tempo projetado com base em resultados anteriores.

Para comparar a velocidade de cada ferramenta, vamos olhar a última linha da tabela (caso contrário, o Stegseek termina antes que todas as threads tenham começado).

Nesta escala, o Stegseek é mais de 12 000 vezes mais rápido que o Stegcracker e mais de 7000 vezes mais rápido que o Stegbrute.

📓 Histórico de alterações

v0.6

2021-04-18
melhorias:

• Corrigido o cracking BMP para arquivos com uma paleta grande.
• Adicionada uma flag --continue para buscar vários arquivos ocultos.
• Adicionada uma flag --accessible para tornar a CLI mais amigável para leitores de tela
• Tornou a CLI mais consistente, adicionou cores.
• --crack e --seed agora emitem códigos de saída adequados para facilitar scripts.
• Menor sobrecarga de desempenho para métricas.
• corrigidas flags do compilador para a compilação padrão.

v0.5

2020-12-28
melhorias:

• Usa muito menos memória (o uso de memória não está mais vinculado ao tamanho da Wordlist)
• A Wordlist é carregada dinamicamente, para que possamos começar o cracking imediatamente.
• Corrigida alta taxa de falsos positivos em --seed

v0.4

2020-12-01
melhorias:

• Adicionado cracking de semente para permitir extração de dados sem senha
• Reformulado parser para permitir argumentos posicionais
• quebra rockyou.txt em 2 segundos

v0.4.1

2020-12-23
Corrigido um bug onde o stegseek falhava ao encontrar uma senha em raras ocasiões.

v0.3

2020-11-08
melhorias:

• Tornou o threading livre de locks para que múltiplas threads sejam usadas mais eficientemente
• Adicionado argumento -xf para --crack, usado para especificar a localização do arquivo extraído
• Tornou o pacote .deb compatível com Debian/Kali
• quebra rockyou.txt em 4 segundos

v0.2

2020-11-05
melhorias:

• Desistir de uma senha assim que um único bit da magia falhar ao decodificar
• Removidas alocações custosas de BitString / EmbData
• Melhorado o desempenho do seletor
• quebra rockyou.txt em 5 segundos.

v0.1

2020-11-04
Lançamento inicial, características:

• Carrega o arquivo stego apenas uma vez, ao contrário dos crackers convencionais
• Threading baseado em pool de trabalho
• Tenta quebrar os primeiros 3 bytes primeiro, antes de tentar a descriptografia completa
• Adicionado pacote .deb e contêiner docker
• quebra rockyou.txt em 41 segundos.