StegoScan.py 是一款强大的、新一代自动化隐写检测工具，适用于网站、Web 服务器和本地目录，将 AI 驱动的物体与文本识别与深度文件分析相结合。与仅关注有限文件类型或需要手动处理的传统隐写检测工具不同，StegoScan.py 专为全面自动化扫描而设计——爬取网站、剖析嵌入文件，并检测跨多种格式（包括 PNG、JPG、BIN、PDF、DOCX、WAV 和 MP3）的隐藏信息。
该工具具备网站和 Web 服务器扫描能力，对于监控非法数据交换的安全研究人员或追踪网络犯罪分子的执法机构来说极具价值。一条命令即可分析整个域名或 IP 范围，检索和检查可疑媒体及文档中的隐藏通信。无论是检测暗网市场中的隐蔽交换、识别 misinformation 活动中嵌入的宣传内容，还是揭示恐怖网络内的隐藏指令，StegoScan.py 都为隐写威胁提供了无与伦比的可见性。
其在隐写检测方面的改进之一是集成了 YOLO 和 TrOCR 等 AI 模型，用于图像和音频文件中的物体与文本检测，而这些以往需要手动验证。传统的 OCR（光学字符识别）工具通常不可靠，常常因噪声、失真或非标准字体而无法识别图像中隐藏的基本文本。StegoScan.py 通过提供可选的 AI 增强文本检测克服了这一点，极大提升了从图像、扫描文档甚至音频文件频谱图中提取隐藏消息的能力。这对于需要从受损媒体中高置信度提取文本的法医分析师、网络安全专业人员和执法机构而言是一项变革性功能。
另一个新颖功能是深度文件提取——这是隐写分析的关键进步。StegoScan.py 不仅扫描 PDF 和 DOCX 文件的表面，更进一步提取并分析其中嵌入的文件。这意味着隐藏在附件或深层嵌套文档中的隐写内容可以被发现，弥补了传统扫描工具的主要盲点。
通过将多种隐写分析技术整合到一个统一的测试中，StegoScan.py 提供了对文件的多层详细分析，为安全团队、数字取证专家和网络安全研究人员提供了应对不断演变的数字威胁的前沿解决方案。随着隐写技术日趋复杂，传统工具已显不足——StegoScan.py 确保组织通过检测他人遗漏的内容来领先于恶意行为者。有关隐写术及其使用方式的更详细描述，请参阅题为“StegoScan 的背景与原理”的部分。
StegoScan 首先设置自己的专属 Python 环境，创建本地工作空间，并安装运行其分析功能套件所需的全部工具和包。一切就绪后，它会验证提供的任何 IP 地址（如果选择了的话），确保它们属于活跃的 Web 服务器。
确认目标后，StegoScan 开始工作——从给定的 IP 地址和 URL 爬取所有指定类型的可用文件。如果选择了本地目录，它也会从那里收集文件。所有收集的文件按类型整齐组织并存储在所选目录中。
接下来，StegoScan 准备一个结果目录并启动其隐写检测测试套件。有关可用测试的更多详细信息，请参阅题为“隐写测试”的部分。随着隐藏数据被发现，文件会被分类并存储在与识别出它们的特定测试相对应的子文件夹中。所有测试运行完毕后，StegoScan 完成最终处理并结束执行。
网站和 Web 服务器扫描能力 – 与仅关注静态文件的传统隐写分析工具不同，StegoScan.py 主动扫描整个网站、IP 范围和 Web 服务器以发现隐藏消息。无论是调查暗网市场、网络犯罪论坛还是受损的企业网站，它都能自动化整个过程，检索和分析文件中的嵌入隐写内容。无需再手动下载和分类——StegoScan 为你完成所有工作！
图像和音频文件上的 AI 物体与文本检测 – 传统 OCR（光学字符识别）不可靠，常常无法处理扭曲文本、非标准字体或噪声图像。StegoScan.py 集成了 YOLO 和 TrOCR 等先进 AI 模型，增强了文本提取和物体检测能力，揭示标准 OCR 完全遗漏的隐藏消息。甚至音频频谱图也可以扫描隐写内容，提供对隐藏数据交换的洞察。
PDF 和 DOCX 文件中的深度文件提取 – 大多数工具在分析文档文件时仅触及表面，但 StegoScan.py 挖得更深！它自动提取隐藏在 PDF、DOCX 文档和其他复杂格式中的嵌入文件，并分析它们以寻找隐写数据。这消除了一个主要盲点——隐藏在看似无害文档中的有效载荷不再安全。不再遗漏隐藏文件——只要存在，StegoScan 就会找到它。
组合工具测试，实现详细文件分析 – StegoScan.py 并非只会一招。它将多种隐写检测方法整合到单个强大测试中，确保对每个扫描文件进行分层、彻底的分析。而不是依赖单一的检测技术（很容易被绕过），StegoScan 使用多种方法交叉检查文件，最大化检测准确性。
自动化并针对 Linux 优化 – 厌倦了处理依赖关系？StegoScan.py 即插即用。它自动安装所需的一切，确保无需手动设置即可顺畅高效地扫描。专为速度和效率而构建，在 Linux 上无缝运行，使其成为网络安全专业人员、渗透测试人员和法医分析师的理想工具。
网页爬取与文件下载 – 自动化从 URL、IP 地址和 IP 范围提取和下载特定文件类型，支持大规模 Web 内容分析。
本地目录提取与测试 – 扫描本地目录以查找隐写内容，识别存储文件中的隐藏消息。
图像处理与隐写分析 – 对图像执行深入的隐写测试，使用多种检测技术发现隐藏数据。
从 PDF 和 DOCX 中提取嵌入文件 – 从 PDF 和 DOCX 文档中提取并分析图像和嵌入文件，这是识别深度隐藏隐写内容的关键步骤。
隐写检测工具 – 集成 stegano、stegdetect 和 zsteg 进行多层检测，发现图像文件中的隐藏消息。
AI 驱动的物体与文本检测 – 通过 AI 驱动的分析增强传统检测方法：
YOLOv8 用于高精度物体检测，识别嵌入的图像和符号。
TrOCR 用于高级文本识别，以比标准 OCR 工具更高的精度提取手写、风格化或扭曲字体的文本。
基础恶意软件与 ELF 文件分析 – 对 ELF 二进制文件和其他可执行文件执行初步安全分析，帮助识别潜在恶意软件威胁。
音频与二进制文件分析 – 分析 WAV 和 MP3 文件中隐藏的隐写数据，包括嵌入在频谱图或不可听频率范围中的消息。
二进制文件结构提取 – 使用 Binwalk 提取和检查二进制文件中的隐藏文件、固件和嵌入数据。
多线程支持 – 针对性能进行了优化，支持快速高效地扫描大型数据集，非常适合法医调查和大规模网络安全应用。
（某些测试下方提供了用于测试工具的样本文件，直观地展示了测试将揭示什么，以及文件在通信站点上可以多么不显眼）
左侧为未更改图像，右侧为嵌入"hello world"的图像
图像完整性 – 使用 Pillow Python 导入检查 PNG 和 JPG 文件的完整性。
直方图 – 使用 Matplotlib Python 导入生成显示 PNG 和 JPG 文件 RGB 颜色值分布的直方图。
物体检测 – 使用 YOLOv8 和 TrOCR 测试 PNG 和 JPG 文件的每一层，通过迭代去除 LSB 并仅对图像应用红色、绿色和蓝色滤镜。
使用 YOLOv8 从 LSB 中发现的隐藏猫图像 [2]
Jpeg – 使用 Stegdetect Linux 命令行工具测试 JPG 文件，检测使用 jSteg、jphide、Outguess、F5（头部分析）、invisible secrets、appendX 和 camouflage 技术嵌入的隐藏数据。
Png – 使用 Zsteg Linux 命令行工具测试 PNG，检测 LSB 隐写，检查不同颜色通道（R、G、B、A）及其位平面，检测用于隐藏数据的常见编码技术，有效载荷提取，文本和 ASCII 隐藏消息，以及熵分析。
左侧为未更改图像，右侧图像“嵌入了‘追猎斯纳克’的第一章” [1]
音频完整性 – 使用 Wave Python 导入检查 MP3 和 WAV 文件的完整性。
音频检测 – 使用 Librosa Python 导入生成 MP3 和 WAV 文件的音频频谱图，然后通过 YOLOv8 和 TrOCR 检查文件时间长度内频率值表示中是否隐藏了图像或消息。
[收听音频](https://github.com/LCBOWER33/StegoScan/blob/main/images/Drawing_of_the_word_Wikipedia.wav)
使用 TrOCR 发现的音频文件中隐藏的文本消息 [2]
二进制 – 使用 Binwalk Linux 命令行工具测试二进制文件中的嵌入文件和数据，识别二进制文件内已知的文件签名（例如 ZIP、PNG、ELF 等），检测二进制映像中的固件组件，压缩和加密数据，发现文件内的压缩数据（如 LZMA、GZIP、BZIP2），标记加密或混淆数据，文件系统签名，识别嵌入式文件系统（如 SquashFS、JFFS2、EXT、FAT），检测编译的可执行文件（ELF、PE、Mach-O），识别引导加载程序和固件组件，以及熵分析。
ELF 检查 – 使用 YARA 规则、魔数、Linux file 命令和熵分析检查所有文件中的嵌入式恶意软件。
-u, --url : 要从中爬取文件的基础 URL、IP 地址或 IP 范围。
-t, --types : 要下载的文件扩展名逗号分隔列表（* 表示所有文件）。
-n, --num : 要下载的文件数量。
-o, --output : 输出目录。
-m, --mode : 测试模式，指定特定测试（例如 lsb, hist）或 "all" 进行所有测试。
-l, --local : 要分析的本地文件或目录的路径。
sudo python StegoScan.py -u "https://example.com" -t "*" -o "downloads" -m "all"
sudo python StegoScan.py -u "https://example.com" -t "jpg,png" -n 5 -o "downloads" -m "all"
sudo python StegoScan.py -l "path/to/local/files" -t "*" -o "downloads" -m "lsb,hist,png"
尽管 GUI 仍在与完整系统合并的开发过程中，以下是当前版本：
所有爬取的文件将存储在执行时提供的输出目录中。
自动创建并安装包含所有必要 Python 导入的新环境。
该脚本自动安装 poppler-utils、stegdetect、binwalk 和 zsteg。
如果检测到 CUDA 兼容 GPU，则使用 GPU 加速。
扩展测试以包括 Exiftool、StegSeek、StegExpose、OutGuess、StegoRAT、StegoSuite 和 WavSteg。
使用更多 YARA 规则扩展恶意软件分析。
使用先进的图像处理技术改进物体检测。
隐写术——将消息隐藏在看似无害的数据中的实践——在犯罪活动中使用显著增加。数字技术的进步使恶意行为者能够将非法信息嵌入表面正常的文件（如图像、音频或视频）中。例如，有报道称恐怖组织曾使用隐写术将指令隐藏在发布到互联网上的数字照片中。此外，VoIP（网络语音电话）通信的兴起导致了在语音流中隐藏数据的技术发展，使得检测更加困难。
在公共媒体领域，隐写术也显示出其存在。除了恶意用途，它还被用于合法目的，例如数字水印，将版权信息秘密嵌入媒体文件中以保护知识产权。这项技术允许内容创作者追踪其作品的传播，打击未经授权的使用。此外，社交隐写术的概念已经出现，个人将消息隐藏在公开分享的文化引用、习语或流行文化内容中，使底层消息仅对特定受众可见。
鉴于隐写术在网络犯罪、恐怖主义和隐蔽通信中的使用日益增加，开发能够扫描网站以寻找这些隐藏消息的工具至关重要。犯罪分子和恶意行为者利用数字隐写术秘密交换数据，例如被盗凭证、恶意软件命令或非法指令，同时避免传统网络安全措施的检测。如果没有扫描和分析 Web 内容中嵌入消息的能力，执法和安全机构可能难以追踪非法活动，从而对国家安全、金融系统和个人隐私构成潜在威胁。此外，随着 misinformation 和隐蔽影响力活动的兴起，隐写技术可能被利用来传播隐藏的宣传或协调虚假信息行动。实施扫描机制将有助于识别和缓解这些风险，同时平衡隐私问题，确保隐写术不被滥用于邪恶目的。
[1] Detecting Steganographic Content on the Internet. 2002年论文，作者 Niels Provos 和 Peter Honeyman，发表于网络与分布式系统安全研讨会论文集（加利福尼亚州圣地亚哥，2002年2月6-8日）。NDSS 2002。Internet Society，华盛顿特区。
[2] “Steganography,” Wikipedia, https://en.wikipedia.org/wiki/Steganography (访问日期：2025年1月27日)。
本项目为开源项目，基于 MIT 许可证提供。
