⚡ Stegseek

Stegseek — это молниеносно быстрый взломщик steghide, который можно использовать для извлечения скрытых данных из файлов. Он создан как форк оригинального проекта steghide и, как результат, он в тысячи раз быстрее других взломщиков и может пройти весь rockyou.txt* менее чем за 2 секунды.

Stegseek также можно использовать для извлечения метаданных steghide без пароля, что может быть использовано для проверки, содержит ли файл данные steghide.

* rockyou.txt — это хорошо известный список паролей, содержащий более 14 миллионов паролей.

Демонстрация: случайный пароль из rockyou.txt (в реальном времени)

Переходите к разделу Производительность для некоторых сырых цифр.

🔧 Установка

Следующие инструкции проведут вас через процесс установки. Альтернативно, вы можете запустить Stegseek в контейнере Docker. Переходите к разделу Docker для инструкций.

Релизы

Linux

На последних версиях Ubuntu и других Debian-системах вы можете использовать предоставленный пакет .deb для установки:

1. Загрузите последний релиз Stegseek
2. Установите .deb файл с помощью sudo apt install ./stegseek_0.6-1.deb

На других системах вам придется собрать Stegseek самостоятельно. Смотрите BUILD.md для получения дополнительной информации.

Windows

Сборка Stegseek в качестве нативного приложения Windows, к сожалению, не поддерживается. Вместо этого вам следует запускать Stegseek с помощью WSL. Для оптимальной совместимости рекомендуется дистрибутив Ubuntu WSL.
После настройки WSL Stegseek можно установить, следуя инструкциям для Linux выше.

По умолчанию WSL монтирует диск C:\ в /mnt/c/, что позволяет легко получить доступ к вашим файлам.

▶️ Использование Stegseek

Взлом

Самая важная функция stegseek — это взлом по словарю:

stegseek [stegofile.jpg] [wordlist.txt]

Этот режим просто переберет все пароли из предоставленного словаря для указанного стегофайла.

Обнаружение и извлечение без пароля (CVE-2021-27211)

Stegseek также можно использовать для обнаружения и извлечения любых незашифрованных (мета) данных из изображения steghide. Это использует тот факт, что генератор случайных чисел, используемый в steghide, имеет только 2^32 возможных начальных значений, которые можно перебрать за несколько минут.

stegseek --seed [stegofile.jpg]

Эта команда сообщит вам:

• Содержит ли этот файл на самом деле содержимое steghide.
• Сколько скрытого содержимого содержит файл.
• Как было зашифровано содержимое .

Если вам (очень) повезло и файл был закодирован без шифрования, этот режим даже восстановит закодированный файл для вас!

Ниже приведена демонстрация задания с X-MAS CTF 2020. Флаг был скрыт с использованием безопасного случайного пароля, но без включения шифрования. В течение нескольких минут Stegseek может восстановить встроенный файл, не угадывая правильный пароль.

Доступные аргументы

Используйте stegseek --help, чтобы получить полный список доступных опций:

=== StegSeek Help ===
To crack a stegofile:
stegseek [stegofile.jpg] [wordlist.txt]

Commands:
 --crack                 Crack a stego file using a wordlist. This is the default mode.
 --seed                  Crack a stego file by attempting all embedding patterns.
                         This mode can be used to detect a file encoded by steghide.
                         In case the file was encoded without encryption, this mode will
                         even recover the embedded file.
Positional arguments:
 --crack [stegofile.jpg] [wordlist.txt] [output.txt]
 --seed  [stegofile.jpg] [output.txt]

Keyword arguments:
 -sf, --stegofile        select stego file
 -wl, --wordlist         select the wordlist file
 -xf, --extractfile      select file name for extracted data
 -t, --threads           set the number of threads. Defaults to the number of cores.
 -f, --force             overwrite existing files
 -v, --verbose           display detailed information
 -q, --quiet             hide performance metrics (can improve performance)
 -s, --skipdefault       don't add guesses to the wordlist (empty password, filename, ...)
 -n, --nocolor           disable colors in output
 -c, --continue          continue cracking after a result has been found.
                         (A stego file might contain multiple embedded files)
 -a, --accessible        simplify the output to be more screen reader friendly

Use "stegseek --help -v" to include steghide's help.

Steghide

Stegseek включает почти всю функциональность steghide, поэтому его также можно использовать для встраивания или извлечения данных как обычно. Единственная загвоздка в том, что команды должны использовать формат --command.
Например, steghide embed [...] становится stegseek --embed [...] .

Позиционные аргументы

• stegseek --embed <data> <coverfile> [<stegofile>]
• stegseek --extract <stegofile> [<output>]

🐳 Docker

Вы также можете запустить Stegseek в контейнере Docker:

docker run --rm -it -v "$(pwd):/steg" rickdejager/stegseek [stegofile.jpg] [wordlist.txt]

Это требует, чтобы словарь и стегофайл находились в текущей рабочей директории, так как эта папка монтируется в /steg внутри контейнера.

📈 Производительность

Вот где Stegseek действительно сияет. Как и обещано, начнем с утверждения "rockyou.txt всего за 2 секунды".
Все эти цифры измерены на ноутбуке с процессором Intel i7-7700HQ @ 2.80GHz и 8 ГБ ОЗУ.

RockYou.txt

Я выбрал последний пароль в rockyou.txt без управляющих символов: "␣␣␣␣␣␣␣1" (7 пробелов, за которыми следует '1').
Этот пароль находится на строке 14344383 из 14344391

> StegSeek 0.6 - https://github.com/RickdeJager/StegSeek

[i] Found passphrase: "       1"          
[i] Original filename: "secret.txt".
[i] Extracting to "7spaces1.jpg.out".


real	0m1,211s
user	0m9,488s
sys	0m0,084s

И вот оно, более 14 миллионов паролей менее чем за 2 секунды 😍.

Как это соотносится с другими инструментами?

Чтобы проверить производительность других инструментов, я создал несколько стегофайлов с разными паролями, взятыми из rockyou.txt. Я запустил каждый инструмент с их настройками по умолчанию, за исключением Stegbrute, где я увеличил количество потоков для справедливого сравнения.

[p] = прогнозируемое время на основе предыдущих результатов.

Чтобы сравнить скорость каждого инструмента, давайте посмотрим на последнюю строку таблицы (иначе Stegseek завершает работу до того, как все потоки запустятся).

В таком масштабе Stegseek более чем в 12 000 раз быстрее Stegcracker и более чем в 7000 раз быстрее Stegbrute.

📓 Журнал изменений

v0.6

2021-04-18
улучшения:

• Исправлен взлом BMP для файлов с большой палитрой.
• Добавлен флаг --continue для поиска нескольких скрытых файлов.
• Добавлен флаг --accessible для улучшения совместимости CLI с программами чтения с экрана.
• Сделал CLI более последовательным, добавил цвета.
• --crack и --seed теперь выдают правильные коды завершения для упрощения скриптования.
• Снижены накладные расходы на производительность для метрик.
• Исправлены флаги компилятора для сборки по умолчанию.

v0.5

2020-12-28
улучшения:

• Использует гораздо меньше памяти (использование памяти больше не привязано к длине словаря)
• Словарь загружается на лету, поэтому мы можем начать взлом немедленно.
• Исправлена высокая частота ложных срабатываний при --seed

v0.4

2020-12-01
улучшения:

• Добавлен взлом начальных значений для извлечения данных без пароля
• Переработан парсер для поддержки позиционных аргументов
• взламывает rockyou.txt за 2 секунды

v0.4.1

2020-12-23
Исправлена ошибка, из-за которой stegseek не мог найти пароль в редких случаях.

v0.3

2020-11-08
улучшения:

• Сделал потоки без блокировок, чтобы несколько потоков использовались более эффективно
• Добавлен аргумент -xf для --crack, используемый для указания расположения извлеченного файла
• Сделал пакет .deb совместимым с Debian/Kali
• взламывает rockyou.txt за 4 секунды

v0.2

2020-11-05
улучшения:

• Отказ от парольной фразы, как только хотя бы один бит магии не декодируется
• Удалены дорогостоящие выделения BitString / EmbData
• Улучшена производительность селектора
• взламывает rockyou.txt за 5 секунд.

v0.1

2020-11-04
Первый выпуск, особенности:

• Загружает стегофайл только один раз, в отличие от обычных взломщиков
• Многопоточность на основе пула рабочих потоков
• Сначала пытается взломать первые 3 байта, прежде чем пытаться выполнить полную дешифровку
• Добавлен пакет .deb и контейнер Docker
• взламывает rockyou.txt за 41 секунду.