PyStegosploit - 通过隐写术与多格式文件实现漏洞利用投递

[video1] | [video2] | [page]

作者：Charmve - yidazhang1 [at] gmail[dot]com, @Charmve @therealsaumil @amichael

2021年5月

Stegosploit创造了一种新方式，将“路过式”浏览器漏洞利用编码并通过图像文件投递。这些载荷通过现有手段无法检测。本文讨论两种用于基于图像漏洞利用投递的广泛底层技术——隐写术（Steganography）与多格式文件（Polyglots）。路过式浏览器漏洞利用被隐写编码到JPG和PNG图像中。生成的图像文件与HTML和JavaScript解码器代码融合，转变为HTML+图像多格式文件。该多格式文件看起来像一张图像，但在受害者浏览器中加载时会被解码并触发。

Stegosploit工具包概览^[1]

Stegosploit包含一系列工具，使用户能够分析图像、将漏洞利用数据隐写编码到JPG和PNG文件中，并将编码后的图像转换为可渲染为HTML或作为JavaScript执行的多格式文件。

当前Stegosploit版本为0.2，可在《国际概念验证或滚蛋杂志》（PoC||GTFO）第0x08期中获取。请注意，您需要通读PoC||GTFO中文章的最后部分，才能找到提取该工具包的提示。

🔍 浏览文件夹

• 📄 README.md
• 📄 copying.txt - WTFPL许可证
• 📁 stego/
  • 📄 image_layer_analysis.html - 分析图像的比特层
  • 📄 iterative_encoding.html - 将漏洞利用编码到JPG或PNG图像中
  • 📄 imagedecoder.html - 解码隐写编码的图像
  • 📄 imagedecode.js
  • 📄 histogram.js
  • 📄 md5.js
  • 📄 base64.js
• 📁 exploits/
  • 📄 exploits.js - 预先准备好的漏洞利用代码
  • 📄 decoder_cve_2014_0282.html - 解码器代码 + CVE-2014-0282的HTML元素
• 📁 imajs/
  • 📄 html_in_jpg_ie.pl - 为IE生成JPG+HTML多格式文件
  • 📄 html_in_jpg_ff.pl - 为Firefox生成JPG+HTML多格式文件
  • 📄 html_in_png.pl - 生成PNG+HTML多格式文件（适用于任何浏览器）
  • 📄 pngenum.pl - 枚举PNG文件的FourCC块
  • 📄 jpegdump.c - 枚举JPG文件的段
  • 📄 CRC32.pm
  • 📄 PNGDATA.pm
• ★ 📁 project-stegosploit/ - 核心部分 视频演示1 | 文字演示1
  • 📁 encoding/ - 核心
    • 📄 iterative_encoding.html - 隐写编码漏洞利用代码
    • 📄 image_layer_analysis.html
    • 📄 imagedevoder.html
    • 📄 decode_and_run_cinput_withjs.html
  • 📁 exploits/ - decoder.html
  • 📁 images/ - 编码后和原始图像
  • 📁 polyglots/ - lena_poly_demo.html
  • 📁 scripts/ - 创建HTML+PNG多格式文件 polyglot_with_jpg.py
  • 📁 tmp/ 运行

jpegdump.c由Ralph Giles编写，可从https://svn.xiph.org/experimental/giles/jpegdump.c下载

在本仓库中，project-stegosploit是关键部分，演示了如何将漏洞利用代码隐藏到图像中，进行编码/解码，以及如何执行meterpreter框架。

🔧 Stegosploit的工作原理

漏洞利用代码被插入到图像的像素中，使得图像包含漏洞利用代码。随后，IMAJS创建一个多格式图像，该图像既可作为图像读取，又包含一个解码器，用于提取并运行JavaScript漏洞利用。

我们将使用的漏洞利用是Internet Explorer的释放后重用漏洞（CVE-2014-0282）。

🔨 环境要求

• Ubuntu 18.04 / Kali / Debian 9
• Web服务 - python -m http.server 8000
• Metasploit框架 - 安装指南

📆 目前已完成的工作

亮点:

• 服务器能够通过10.0.2.2:5000向虚拟机提供图像服务
• jpg.py程序能够构建多格式文件（同时是有效的.html和.jpg）

📝 检查清单

• 重构CRC32.pm

• 重构PNGDATA.pm

• 重构html_in_jpg_ie.pl

• 重构pngenum.pl

• 演示服务器

  • 将所有静态漏洞利用文件移至演示页面的/static目录
  • 确保所有静态文件通过template_render解析传递
  • 为image_layer_analysis.html添加图像选择器（可选）

✨ 相关作品 Stegosploit

我的仓库

• steganography.js - 使用steganography.js用JavaScript隐藏秘密消息 https://charmve.github.io/xss-test/examples/showcase/
• StegaStamp-plus - 改进原始仓库“物理照片中的隐形超链接”，无需数据集和训练参数

❕ 免责声明

• 本仓库遵循GPL开源协议，请务必理解。

• 我们严格禁止通过本程序实施任何违反国家法律法规的行为，请在合法范围内使用本程序。

• 默认情况下，使用本程序即视为您同意我们的规则，请务必遵守道德和法律标准。

• 如果您不遵守，后果自负，作者不承担任何责任！

📎 参考文献

[1] https://stegosploit.info/

[2] https://conference.hitb.org/hitbsecconf2015ams/sessions/stegosploit-hacking-with-pictures/

[3] https://www.vulnerability-db.com/?q=articles/2015/06/17/exploit-delivery-steganography-using-stegosploit-tool-v02

[4] https://www.blackhat.com/docs/eu-15/materials/eu-15-Shah-Stegosploit-Exploit-Delivery-With-Steganography-And-Polyglots.pdf

[5] https://stackoverflow.com/questions/4110964/how-does-heap-spray-attack-work

[6] https://www.youtube.com/watch?time_continue=1&v=6lYUtIZHlJA

[7] https://www.owasp.org/images/0/01/OWASL_IL_2010_Jan_-_Moshe_Ben_Abu_-_Advanced_Heapspray.pdf

[8] https://en.wikipedia.org/wiki/Heap_spraying

[9] https://developer.microsoft.com/en-us/microsoft-edge/tools/vms/

🎧 相关视频

video

✉️ 联系方式

yidazhang1[#]gmail[dot]com