Набор инструментов для стеганографии

Этот проект представляет собой Docker-образ, полезный для решения задач по стеганографии, подобных тем, что встречаются на CTF-платформах, таких как hackthebox.eu. Образ поставляется с предустановленным множеством популярных инструментов (см. список ниже) и несколькими скриптами первичной проверки, которые можно использовать для быстрой оценки (например, выполните check_jpg.sh image.jpg, чтобы получить отчёт для JPG-файла).

Использование

Сначала убедитесь, что у вас установлен Docker (инструкция). Затем вы можете использовать скрипты оболочки bin/build.sh и bin/run.sh из этого репозитория для сборки образа и запуска контейнера. Вы попадёте в оболочку bash внутри контейнера. В контейнере будет смонтирована папка data, в которую вы можете поместить файлы для анализа.

Если вы не используете скрипты, выполните следующие шаги:

1. Соберите образ (docker build -t <имя_образа> .) или скачайте из Docker Hub (docker pull dominicbreuker/stego-toolkit)
2. Запустите контейнер, смонтировав ваши файлы в папку /data (docker run -it <имя_образа> -v /локальная/папка/с/данными:/data /bin/bash)
3. Используйте инструменты командной строки и скрипты проверки для ваших файлов: например, выполните check_jpg.sh image.jpg для быстрого отчёта или brute_jpg.sh image.jpg wordlist.txt для попытки извлечения скрытых данных с помощью различных инструментов и паролей
4. Если вы хотите запустить инструменты с графическим интерфейсом, используйте один из двух способов:

• Запустите start_ssh.sh и подключитесь к контейнеру с перенаправлением X11
• Запустите start_vnc.sh и подключитесь к рабочему столу контейнера через браузер

Дополнительную информацию смотрите в следующих разделах:

• Какие инструменты установлены? Перейти сюда
• Какие скрипты можно запустить для быстрой автоматической проверки файлов или их брутфорса? Перейти сюда
• Как поиграть с различными примерами стеганографии, чтобы проверить, можете ли вы их взломать? Перейти сюда
• Как запускать инструменты с графическим интерфейсом внутри контейнера? Перейти сюда

Демонстрация

Начните с docker run -it --rm -v $(pwd)/data:/data dominicbreuker/stego-toolkit /bin/bash. Вы попадёте в оболочку контейнера в рабочем каталоге /data. Ваша локальная папка $(pwd)/data будет смонтирована, и изображения внутри неё станут доступны.

Инструменты

Установлено множество различных инструментов для Linux и Windows. Инструменты для Windows поддерживаются через Wine. Некоторые инструменты можно использовать в командной строке, другие требуют поддержки графического интерфейса!

Инструменты командной строки

Эти инструменты можно использовать в командной строке. Всё, что вам нужно сделать, — это запустить контейнер и смонтировать файлы стеганографии, которые вы хотите проверить.

Общие инструменты проверки

Инструменты для запуска в начале. Позволяют получить общее представление о том, с чем вы имеете дело.

Инструменты обнаружения стеганографии

Инструменты, предназначенные для обнаружения стеганографии в файлах. В основном выполняют статистические тесты. Они покажут скрытые сообщения только в простых случаях. Однако они могут дать подсказки, что искать, если обнаружат интересные аномалии.

Инструменты, непосредственно осуществляющие стеганографию

Инструменты, которые можно использовать для сокрытия сообщений и последующего их раскрытия. Некоторые шифруют сообщения перед сокрытием. Если они это делают, то требуют пароль. Если у вас есть догадка, какой инструмент использовался или какой пароль может быть верным, попробуйте эти инструменты. Некоторые инструменты поддерживаются скриптами брутфорса, доступными в этом Docker-образе.

Инструменты стеганографии с графическим интерфейсом

Все перечисленные ниже инструменты имеют графический интерфейс и не могут быть использованы через командную строку. Для их запуска необходимо сделать X11-сервер доступным внутри контейнера. Поддерживаются два способа:

• запустите start_ssh.sh, чтобы запустить SSH-сервер. Затем подключитесь с перенаправлением X11. Требуется X11-сервер на вашем хосте!
• запустите start_vnc.sh, чтобы запустить VNC-сервер + клиент. Затем подключитесь через браузер к порту 6901, и вы получите рабочий стол Xfce. Зависимостей от хоста нет!

Кроме того, вы можете найти другие способы сделать X11 доступным внутри контейнера. Существует множество различных вариантов (например, монтирование UNIX-сокетов).

Скрипты первичной проверки

Многие из перечисленных выше инструментов не требуют взаимодействия с графическим интерфейсом. Поэтому вы можете легко автоматизировать некоторые рабочие процессы для базовой проверки файлов, которые могут содержать скрытые сообщения. Поскольку подходящие инструменты различаются в зависимости от типа файла, для каждого типа файла существуют свои скрипты.

Для каждого типа файла есть два вида скриптов:

• XXX_check.sh <stego-файл>: запускает базовые инструменты проверки и создаёт отчёт (+ возможно, каталог с отчётами в файлах)
• XXX_brute.sh <stego-файл> <словарь>: пытается извлечь скрытое сообщение из стего-файла с помощью различных инструментов, используя словарь (cewl, john и crunch установлены для генерации списков — старайтесь, чтобы они были небольшими).

Поддерживаются следующие типы файлов:

• JPG: check_jpg.h и brute_jpg.sh (брутфорс с использованием steghide, outguess, outguess-0.13, stegbreak, stegoveritas.py -bruteLSB)
• PNG: check_png.h и brute_png.sh (брутфорс с использованием openstego и stegoveritas.py -bruteLSB)

Генерация словарей

Скриптам брутфорса, указанным выше, нужны словари. По моему скромному мнению, вряд ли поможет использование огромных стандартных словарей, таких как rockyou. Скрипты для этого слишком медленны, и стего-задачи, похоже, не рассчитаны на это. Более вероятный сценарий — вы догадываетесь, каким может быть пароль, но не знаете точно.

Для таких случаев включено несколько инструментов для генерации словарей:

• john: улучшенная сообществом версия John the Ripper может расширять ваши словари. Создайте базовый словарь с несколькими кандидатами в пароли и используйте john для создания множества их вариантов. Используйте john -wordlist:/путь/к/вашему/словарю -rules:Single -stdout > /путь/к/расширенному/словарю для применения обширных правил (~x1000) и john -wordlist:/путь/к/вашему/словарю -rules:Wordlist -stdout > /путь/к/расширенному/словарю для уменьшенного набора правил (~x50).
• crunch: может генерировать небольшие словари, если у вас есть шаблон. Например, если вы знаете, что пароль оканчивается на 1984 и состоит из 6 букв, используйте crunch 6 6 abcdefghijklmnopqrstuvwxyz -t @@1984, что сгенерирует 26 * 26 = 676 паролей: aa1984, ab1984, ..., zz1984. Формат: crunch <мин-длина> <макс-длина> <набор-символов> <опции>, и мы использовали опцию шаблона. Ознакомьтесь с less /usr/share/crunch/charset.lst, чтобы увидеть наборы символов, поставляемые с crunch.
• CeWL: может генерировать словари, если вы знаете, что веб-сайт связан с паролем. Например, выполните cewl -d 0 -m 8 https://en.wikipedia.org/wiki/Donald_Trump, если подозреваете, что изображение Дональда Трампа содержит зашифрованное скрытое сообщение. Команда сканирует сайт и извлекает строки длиной не менее 8 символов.

Примеры стеганографии

Образ содержит образцы изображений и аудиофайлов в различных форматах:

• /examples/ORIGINAL.jpg
• /examples/ORIGINAL.png
• /examples/ORIGINAL.mp3
• /examples/ORIGINAL.wav

Также в нём есть скрипт /examples/create_examples.sh, который вы можете запустить, чтобы встроить скрытое сообщение («This is a very secret message!») в эти файлы с помощью различных методов. После запуска этого скрипта вы найдёте эти файлы в /examples/stego-files с именами, указывающими на использованный инструмент для встраивания сообщения. Вы можете запустить скрипты проверки, чтобы узнать, найдут ли они что-нибудь, или попытаться взломать их иным способом.

GUI и контейнеры

По умолчанию в Docker-контейнере нельзя запускать инструменты с графическим интерфейсом, так как X11-сервер недоступен. Чтобы это сделать, необходимо изменить ситуацию. То, что для этого требуется, зависит от вашей хост-системы. Если у вас:

• Linux — вероятно, X11 уже есть
• Mac OS — нужен Xquartz (brew install Xquartz)
• Windows — у вас проблема

Используйте перенаправление X11 через SSH, если хотите пойти этим путём. Запустите start_ssh внутри контейнера для запуска сервера, убедитесь, что вы открыли порт 22 при запуске контейнера: docker run -p 127.0.0.1:22:22 ..., затем используйте ssh -X ... при подключении (скрипт выведет пароль).

Чтобы не зависеть от X11, образ поставляется с сервером TigerVNC и noVNC-клиентом. Вы можете использовать его для открытия сессии HTML5 VNC через браузер для подключения к рабочему столу Xfce контейнера. Для этого запустите start_vnc.sh внутри контейнера для запуска сервера и клиента, убедитесь, что вы открыли порт 6901 при запуске контейнера docker run -p 127.0.0.1:6901:6901 ... и перейдите по адресу localhost:6901/?password=<пароль> (скрипт выведет пароль).

Использование SSH с перенаправлением X11

Команды из GIF для копирования и вставки:

# в 1-й оболочке хоста
docker run -it --rm -p 127.0.0.1:22:22 dominicbreuker/stego-toolkit /bin/bash

# внутри оболочки контейнера
start_ssh.sh

# во 2-й оболочке хоста (используйте для запуска GUI-приложений)
ssh -X -o UserKnownHostsFile=/dev/null -o StrictHostKeyChecking=no root@localhost

Использование браузера и VNC

Команды из GIF для копирования и вставки:

# в 1-й оболочке хоста
docker run -it --rm -p 127.0.0.1:6901:6901 dominicbreuker/stego-toolkit /bin/bash

# внутри оболочки контейнера
start_vnc.sh

# в браузере подключитесь по адресу: http://localhost:6901/?password=<пароль_из_start_vnc>

Коллекция ссылок

Это коллекция полезных ссылок по стеганографии:

• Вы должны уметь распознавать коды. Ознакомьтесь с этой шпаргалкой от Эрика Харшбаргера, содержащей множество различных кодов.
• Шпаргалка с описанием рабочих процессов, на что обращать внимание и распространённые инструменты: тык
• Руководство по форензике CTF с множеством идей для стего-задач: тык
• Описания форматов файлов в виде красивых плакатов: тык

Ссылки

В этот репозиторий включены следующие примеры медиафайлов:

• Демо-изображение (JPG, PNG): https://pixabay.com/p-1685092
• Демо-аудиофайл (MP3, WAV): https://upload.wikimedia.org/wikipedia/commons/c/c5/Auphonic-wikimedia-test-stereo.ogg --- Автор: debuglevel (собственная работа) [CC BY-SA 3.0 (https://creativecommons.org/licenses/by-sa/3.0)], через Wikimedia Commons