[Forensics WRITEUP🟪] Steganography 개념 및 툴 정리

 

 

Steganography (스테가노그래피)

사진, 음악, 동영상 등의 파일 안에 데이터를 숨기는 것

(JPG, MP4, MP3, DOC, 폰트에 숨기기 가능함)

 

steganography 암호화 기술을 해독하려면 사진에서 flag 값을 찾을 수 있어야 할 것이다.

문제를 풀어보기에 앞서 PNG, JPG 파일 구조에 대해서 조금 더 알아보겠다.

 

 

PNG의 파일 구조

시그니처	89 50 4E 47 0D 0A 1A 0A
푸터 시그니처	49 45 4E 44 AE 42 60 82

 

PNG Chunk

IHDR Chunk, PLTE Chunk, IDAT Chunk, IEND Chunk로 이루어져 있다.

 

 

JPEG의 파일 구조

SOI	Start of Image	FF D8
APPn	Application-Specific (JFIF/JFXX)	FF E0 ~
DQT	Define Quantization Table	FF DB
SOF	Start of Frame	FF C0 FF C2
DHT	Define Huffman Tables	FF C4
SOS	Start of Scan	FF DA
-Scan Data-	Scan Data
EOI	End of Image	FF D9

 

• 각 블록은 Marker에 의해 구분된다.
• JFIF APP0 Marker는 무조건 존재한다.
• JFIF extention APP0 Marker는 선택사항이며 APP0 바로 뒤에 온다.

Common Segment (signature) 사진 출처 : https://en.wikipedia.org/wiki/JPEG#Syntax_and_structure 사진 출처 : https://en.wikipedia.org/wiki/JPEG#Syntax_and_structure

 

 

 

->  파일에는 다음과 같은 부분에 데이터를 삽입할 수 있다. (삽입, 변조의 방법)

 

💡 1. 이미지 자체를 변조시켜 데이터를 숨기는 방법

LSB 변경

최하위 비트인 LSB를 변조

=> 보기에 똑같은 색인데 LSB가 1씩 차이날 때 의심해볼 수 있음

JPEG, BMP 24비트 이미지 파일에 주로 적용됨 (빨강 8, 초록 8, 파랑 8)

 

인간의 인식 능력은 프레임, 화소 단위에서 오차가 발생할 수 있음

 

그 밖에도 다양한 변조가 나타나는데, 직접 파이썬 코딩을 할 수도 있음

 

💡 2. 파일에 데이터를 숨겨놓는 바이트를 두는 방법

EOI 뒤의 공간

JPG, PNG, GIF등의 이미지 파일에 파일의 끝을 알리는 바이트를 뜻한다.

* EOI 바이트 뒤의 데이터는 무시된다.

JPEG	FF D9 // ~
PNG	49 45 4E 44 AE 42 60 82 // ~

 

헤더 공간

+ JPG에서는 다음과 같은 공간의 데이터도 무시될 수 있다.

APPO/APP15 ~ SOFO 사이의 공간

APPO ~ APP15	FF EO ~ FF EF (이미지의 세부 사항이 들어가는 곳)
SOFO	FF DA ( Width, Height 등...)

 

 

 

---

 🛠️Steganography 툴 

변조, 삽입된 데이터를 찾아내는 것에 도움을 주는 tool들을 모아보았다. 사진을 클릭하면 이동한다!!

 

 

OPENSTEGO

 

 

 

Image Steganography

 

bits를 조정해 이미지를 해독해볼 수 있는 사이트다.

 

 

StegOnline

 

 

Steganography Online

숨겨진 메세지를 확인할 수 있다.

 

 

Forensically

 

 

 

 

 

---

 

 

 

 🏆Mountains beyond mountains 

해당문제에서는 i_like_keroro_sticker라는 png 이미지가 주어진다.

 

사진을 관찰했는데 윗부분이 조금 이상하다. 윗부분을 툴을 써 해독해볼 수 있지 않을까?

비트 수준이 24라고 적혀있는데 LSB 스테가노그래피가 주로 해당 이미지에 적용된다고 해서 의심해볼 수 있었다. 하지만 관련 비슷한 툴들을 확인해봐도 별다른 내용은 나타나지 않았다.

89 50 4E 47 0D 0A ... 는 png의 헤더파일이 맞다.
010 Editor을 이용한 값에는 별다른 문제가 없는 것 같다고 생각했다. IHDR로 시작해서 IEND로 끝난다. 숨겨진 메세지로 보여지는 것은 없었다.

Steganography Online을 통해 숨겨진 메세지를 해독해봤는데 해당 문구가 나타났다.
OPENSTEGO를 이용해서 itsmine.png를 추출하라는..?? 그런 내용인 것 같다. 한번 사용해보겠다.

openstego를 이용해 LSB 알고리즘을 이용해 itsmine.png 파일을 생성할 수 있었다.
(이때 최신버전에서는 해독이 되지 않았다. openstego를 이용하는 것은 맞기 때문에 이전 버전으로 설치했다.)

추출된 itsmine.png에는 QR코드로 추정되는 사진이 나타난다.
해당 QR코드를 스캔하면 답을 확인할 수 있다.