CTF - CyberGame2023 - Steganography

Steganografia - tajná správa je schovaná v správe / informácií verejnej, bez toho aby si ju bolo možné na prvý pohľad všimnúť.

V obľube tohto scenára sú obrázky s informáciou schovanou na všetky spôsoby. Zadania v postupnosti akej ich bolo potrebné vyriešiť.

1. Bus

ilustračný obrázok autobusu (neobsahuje šifru)

2. Snow

3. White noise

Súčasťou tohto zadania sú dva obrázky.

4. Secret message

5. PDF mystery

PDF sem neviem zavesiť, tak aspoň všeobecne ako vyzeralo (z tohto obrázku sa nepodarí kód dešifrovať).

ilustračný obrázok PDF súboru

a riešenia...

Riešenia

1. Bus

Obrázok je typu PNG. Každý PNG obrázok má hlavičku s reťazcom PNG, na konci reťazec IEND, aj tento. Avšak keď sa lepšie pozrieme na obsah, zistíme, že má IEND reťazce 2, je to teda obrázok vložený za obrázok, zobrazí sa len ten prvý a druhý sa ignoruje.

xxd bus.png | grep IEND
0014cd60: 6ece d362 5ab4 6460 0000 0000 4945 4e44  n..bZ.d`....IEND
0014d5c0: 3a6a 2534 0000 0000 4945 4e44 ae42 6082  :j%4....IEND.B`.
xxd bus.png | grep PNG
00000000: 8950 4e47 0d0a 1a0a 0000 000d 4948 4452  .PNG........IHDR
0014cd70: ae42 6082 8950 4e47 0d0a 1a0a 0000 000d  .B`..PNG........

Ďalšia možnosť ako to dopátrať je binwalk, vypíše druhý png obrázok aj s adresou.

Začiatok druhého obrázka je teda na adrese 14cd74 (desiatkovo 1363316). Nasledujúci príkaz vygeneruje druhý obrázok ako samostatný súbor, ktorý si potom zobrazíme.

dd iflag=skip_bytes skip=1363316 if=bus.png of=bus2.png

2. Snow

Tento miniatúrny obrázok má 187 bajtov, rozlíšenie 10x10 pixelov, žiaden čitateľný kód priamo v súbore. Po otvorení v gimp-e (alebo photopea) a zväčšení je vidieť 3 rôzne intenzity priehľadnosti.

Ak sa pozrieme na to, ako informácie ukladané po riadkoch, tak najtmavšia (najpriehľadnejšia) farba sa nachádza vždy len pre jeden pixel, svetlejšia a nepriehľadná biela sa opakujú a striedajú aj viac krát. Morzeovka s oddeľovačmi. Tmavšia ako bodka, svetlejšia ako pomlčka. A zas tá leet abeceda.

.----/--/....-/--./...--/--/-----/.-./...../...--/-.-./-----/-../...--

1 M 4 G 3 M 0 R 5 3 C 0 D 3

3. White noise

Toto je naozaj pekné, šum v dvoch obrázkoch. Ako naložiť s dvoma obrázkami rovnakého rozlíšenia.. skúsime ich skombinovať. 

V editore GIMP otvorím prvý obrázok. Z menu potom vyberiem Súbor - otvoriť ako vrstvu a vyberiem druhý. Následne vo vrstvách dám vybrať režim pre "násobenie" (XOR tam nie je).

4. Secret message

Tento bol ťažší, ale zaujímavý. Obrázok otvorím v stránke CyberChef. Vie totiž aj nejaké tie stegano funkcie nad obrázkami. 

Funkcia "extract LSB" vytiahne spodné bity farebných informácií a vyskladá z nich bajty informácií. Tieto bity majú na výslednej farbe tak malú váhu, že ich zmenou sa obrázok nenaruší.

V tomto konkrétnom obrázku je správa uložená v modrej farbe úplne na začiatku.

5. PDF mystery

PDF malo vystavené v texte binárny kód, ale také jednoduché to nebude viz preklad v CyberChef.

Nainštaloval som si pdfimages pre vytiahnutie obrázkov z PDF. Okrem viditeľných obrázkov s logom SK-CERT a nápisom CyberGame tu bol ešte jeden, celý biely.

tento obrázok obsahuje aj šifru

Grafický editor si s obrázkom neporadil, ani CyberChef pri vyhľadávaní zakódovaných textov v LSB ako v 4tej úlohe. Avšak máme tu ešte funkciu, ktorá vie v obrázkoch pozerať bitplane.. nastavíme modrú a 0-té bity.

Linka na riešenie v CyberChef.

Zaujímavosť

Redakčný systém blogger spracúva všetky nahrávané obrázky, napriek tomu sú všetky schované informácie okrem prvej úlohy zachované.