搜索

[11325] 2017-05-09_CIA机密文档追踪工具Scribbles详细分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-05-09_CIA机密文档追踪工具Scribbles详细分析 C I A 机 密 文 档 追 踪 工 具 S c r i b b l e s 详 细 分 析 A r k T e a m / W e l l e e   F r e e B u f   2 0 1 7 - 0 5 - 0 9 * 本 文 原 创 作 者 ： A r k T e a m / W e l l e e ， 属 F r e e b u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 2 0 1 7 年 4 月 2 8 日 ， 维 基 解 密 发 布 了 C I A “ 涂 鸦 ” （ S c r i b b l e s ） 项 目 的 文 档 和 源 代 码 （ 参 考 地 址 1 ） 。 这 是 一 个 文 档 预 处 理 系 统 ， 用 于 给 涉 密 文 档 打 上 “ W e b   b e a c o n ” 类 型 的 追 踪 水 印 。 该 系 统 相 关 简 介 已 有 参 考 文 章 （ 参 考 地 址 2 ） ， 在 此 不 做 过 多 叙 述 。 文 本 首 先 通 过 其 源 代 码 ， 分 析 该 系 统 生 成 水 印 的 流 程 ， 然 后 通 过 实 际 使 用 ， 介 绍 其 使 用 方 法 ， 并 对 其 实 际 效 果 进 行 测 试 和 总 结 。 1 、 原 理 概 述 “ W e b b e a c o n ” 追 踪 标 签 ， 通 常 被 用 于 植 入 电 子 邮 件 和 网 页 ， 可 以 利 用 它 来 发 送 关 于 邮 件 是 否 已 被 打 开 的 信 息 。 如 在 邮 件 中 嵌 入 一 个 隐 藏 的 远 程 图 片 U R L ， 当 邮 件 被 打 开 时 ， 会 主 动 请 求 该 U R L ， 以 加 载 远 程 图 片 。 远 程 服 务 器 获 得 请 求 ， 便 可 获 知 该 邮 件 已 被 打 开 。 同 理 ， S c r i b b l e s 实 际 上 是 在 文 档 中 嵌 入 一 种 隐 藏 的 水 印 ， 注 意 ， 该 水 印 并 不 是 o f f i c e 软 件 中 自 带 的 水 印 功 能 （ 如 添 加 背 景 字 等 ） ， 而 是 类 似 上 述 “ W e b   b e a c o n ” 的 原 理 ， 之 所 以 称 其 为 水 印 ， 是 因 为 S c r i b b l e s 的 说 明 文 档 和 源 代 码 都 使 用 的 “ w a t e r m a r k ” 关 键 词 ， 索 性 在 此 称 之 为 水 印 。 S c r i b b l e s 的 水 印 严 格 来 说 就 是 在 文 档 中 插 入 一 个 远 程 图 像 的 U R L ， 当 文 档 被 打 开 时 ， 会 主 动 通 过 H T T P 或 H T T P S 协 议 的 G E T 请 求 访 问 该 U R L ， 以 加 载 远 程 图 片 ， 远 程 服 务 器 接 收 到 请 求 便 可 得 知 有 机 密 文 件 已 经 被 打 开 ， 并 可 根 据 请 求 信 息 ， 得 知 文 件 被 打 开 时 所 在 的 主 机 源 I P 等 信 息 ， 从 而 进 行 追 踪 。 注 ： 下 文 中 所 述 的 水 印 都 是 指 该 U R L 。 S c r i b b l e s 给 文 档 嵌 入 上 述 水 印 ， 生 成 并 记 录 水 印 中 的 特 定 字 符 串 ， 当 远 程 服 务 器 收 到 请 求 ， 便 可 根 据 该 请 求 中 的 特 殊 字 符 串 得 知 是 哪 个 文 件 被 窃 取 ， 虽 然 原 理 简 单 易 懂 ， 但 是 该 策 略 十 分 有 效 ， 具 体 细 节 下 文 进 行 介 绍 。 2 、 系 统 源 码 分 析 该 系 统 可 给 W o r d ,   E x c e l ,   P o w e r P o i n t 三 种 文 档 的 多 种 版 本 打 上 水 印 ， 进 行 追 踪 ， 其 原 理 和 流 程 大 致 相 同 ， 下 面 就 以 W o r d 文 档 水 印 生 成 流 程 的 代 码 进 行 详 细 分 析 。 ◆ ◆     ◆ ◆     ◆ ◆ 水 印 生 成 流 程 水 印 生 成 流 程 W o r d 文 档 水 印 生 成 主 要 流 程 如 下 图 ：
        1 )   S c r i b b l e s 程 序 运 行 需 要 从 命 令 行 或 者 配 置 文 件 中 读 取 相 关 参 数 ， 关 键 参 数 主 要 有 ： u r l _ S c h e m e ： 协 议 类 型 ， 可 为 H T T P 和 H T T P S h o s t S e r v e r N a m e ： 发 起 请 求 的 域 名 h o s t R o o t P a t h ： 发 起 请 求 的 域 的 根 路 径 h o s t S u b D i r s ： 发 起 请 求 的 域 的 子 路 径 h o s t F i l e N a m e ： 发 起 请 求 的 文 件 名 h o s t F i l e E x t L i s t ： 发 起 请 求 的 文 件 类 型 后 缀 o u t p u t _ D i r e c t o r y ： 已 嵌 入 水 印 的 文 件 输 出 路 径 o u t p u t _ W a t e r m a r k L o g ： 输 出 构 造 水 印 日 志
程 序 根 据 读 取 的 参 数 ， 生 成 一 个 特 定 的 U R L ， 该 U R L 中 包 含 一 个 特 殊 字 符 串 ， 以 用 来 唯 一 标 识 文 档 。 2 )   接 下 来 ， 程 序 根 据 读 取 参 数 ， 创 建 输 出 目 录 ， 复 制 源 文 件 到 输 出 目 录 。 接 下 来 的 处 理 都 是 对 输 出 目 录 中 得 到 的 新 文 件 进 行 。 此 步 骤 中 ， 如 果 源 文 件 是 . d o c 后 缀 类 型 文 件 ， 会 将 其 转 为 . d o c x 文 件 ， 打 上 水 印 后 再 将 其 处 理 还 原 回 . d o c 类 型 3 )   接 下 来 ， 在 新 文 件 中 的 页 眉 中 插 入 图 片 占 位 符
4 )   然 后 将 文 件 转 为 x m l 格 式 ， 存 到 程 序 创 建 的 临 时 文 件 夹 中 。 然 后 将 图 片 占 位 符 替 换 为 水 印 U R L 。 将 程 序 中 删 除 临 时 文 件 夹 的 代 码 注 释 掉 ， 再 次 运 行 程 序 便 可 在 临 时 文 件 夹 中 的 w o r d 目 录 下 的 r e l s 子 目 录 的 h e a d e r 1 . x m l . r e l s 文 件 查 看 到 已 经 嵌 入 的 水 印 U R L 。
5 )   之 后 ， 程 序 将 之 前 解 压 处 理 并 植 入 水 印 的 X M L 文 件 还 原 回 正 常 的 W o r d 文 档 ， 至 此 水 印 U R L 在 新 文 档 中 植 入 完 成 。 6 )   接 下 来 将 水 印 生 成 的 相 关 信 息 记 录 到 日 志 文 件 中 ， 水 印 嵌 入 过 程 到 此 结 束 。 3 、 使 用 方 法 及 测 试 ◆ ◆     ◆ ◆     ◆ ◆ 3 . 1   使 用 方 法 使 用 方 法 接 下 来 介 绍 程 序 的 使 用 方 法 ： 源 码 部 分 已 经 说 明 程 序 需 要 从 命 令 行 或 者 配 置 文 件 中 读 取 相 关 参 数 来 构 造 水 印 U R L ， 下 面 实 际 测 试 通 过 构 造 配 置 文 件 的 方 式 让 程 序 读 取 相 关 参 数 。 1 )   测 试 所 用 的 配 置 文 件 1 . x m l 的 内 容 如 下 图
其 中 的 参 数 之 所 以 为 l i s t ， 是 因 为 程 序 会 从 参 数 l i s t 中 随 机 选 取 值 ， 来 为 每 个 文 件 构 造 U R L ， 具 体 构 造 的 U R L 事 例 详 见 下 文 。 2 )   程 序 一 方 面 需 要 根 据 参 数 构 造 水 印 U R L ， 另 一 方 面 ， 需 获 得 要 打 水 印 的 源 文 件 的 路 径 ， 路 径 可 以 为 多 层 次 的 文 件 夹 。 本 次 测 试 的 源 文 件 存 放 位 置 大 致 如 下 图 ： I n p u t D i r 是 赋 予 程 序 的 输 入 目 录 ， 程 序 会 自 动 读 取 该 目 录 下 的 所 有 文 件 夹 和 文 件 ， 通 过 复 制 源 文 件 的 方 式 ， 创 建 新 文 件 并 打 上 水 印 。 之 后 ， 记 录 日 志 到 配 置 的 t s v 日 志 文 件 中 。 3 )   命 令 行 使 用 上 述 1 . x m l 配 置 文 件 ， 运 行 程 序 ， 如 下 图 ：
程 序 运 行 结 束 后 ， 文 件 夹 结 构 如 下 图 ： 可 看 出 程 序 按 照 I n p u t D i r 文 件 夹 的 层 次 结 构 ， 在 配 置 的 O u t p u t D i r 文 件 夹 下 ， 创 建 一 模 一 样 的 文 件 夹 层 次 结 构 ， 并 复 制 了 源 文 件 ， 将 其 打 上 水 印 。 最 后 ， 程 序 创 建 的 日 志 文 件 的 部 分 内 容 如 下 图 ： 主 要 包 含 源 文 件 的 路 径 名 称 ， 水 印 T a g ， 水 印 U R L 等 内 容 。 ◆ ◆     ◆ ◆     ◆ ◆ 3 . 2   效 果 测 试 效 果 测 试 将 生 成 的 水 印 文 档 进 行 测 试 ， 并 进 行 抓 包 分 析 ， 证 明 了 上 述 原 理 分 析 。 1 )   打 开 嵌 入 水 印 后 的 W o r d 文 档 ， 如 下 图 ： 首 先 将 源 文 件 （ 左 ） 和 嵌 入 水 印 的 文 件 （ 右 ） 对 比 ， 发 现 嵌 入 水 印 后 的 文 件 多 了 页 眉 ， 当 然 ， 如 果 源 文 件 本 身 也 有 页 眉 的 话 ， 那 么 直 观 来 看 ， 根 本 看 不 出 有 任 何 变 化 。
打 开 抓 包 工 具 ， 然 后 打 开 文 件 ， 抓 到 的 数 据 包 可 看 到 ， 当 文 件 打 开 时 ， 其 请 求 了 水 印 U R L ， 效 果 如 下 ： 其 中 的 1 n t w e 4 f v b g 7 7 v . z 8 x 9 n t j 3 b j 0 6 j 6 7 b 4 就 是 前 述 所 说 的 构 造 特 殊 字 段 ， 该 字 段 保 证 水 印 的 唯 一 性 和 文 件 的 一 一 对 应 关 系 。 观 察 程 序 生 成 水 印 时 记 录 的 日 志 ， 便 可 得 知 此 次 请 求 是 因 为 1 . d o c x 文 件 被 打 开 ， 另 一 方 面 服 务 器 端 收 到 请 求 ， 获 得 请 求 端 的 源 I P 地 址 ， 可 在 一 定 程 度 上 进 行 追 踪 溯 源 。 2 )   事 实 上 ， 打 开 W o r d 文 件 中 的 页 眉 ， 仔 细 观 察 会 发 现 页 眉 左 边 有 个 很 小 的 图 像 像 素 点 ， 但 是 不 仔 细 看 真 的 很 难 发 现 ， 而 且 文 档 打 开 时 ， 不 会 有 任 何 提 示 。 将 页 眉 全 选 后 ， 该 像 素 点 效 果 如 图 ： 拖 动 该 像 素 点 ， 将 其 拉 长 ， 可 看 到 其 就 是 一 个 链 接 的 远 程 图 片 ， 因 为 水 印 U R L 是 程 序 随 机 使 用 配 置 参 数 中 的 数 据 构 造 的 假 链 接 ， 所 以 文 档 中 显 示 ， “ 无 法 显 示 该 图 像 ” 。 如 图 ：
至 此 ， W o r d 的 水 印 构 造 过 程 和 其 原 理 已 经 清 楚 。 另 外 ， 打 开 E x c e l 和 P P T 的 效 果 大 致 类 似 ， 亲 测 同 样 有 效 ！ 在 此 不 再 赘 述 。 但 是 有 个 细 节 是 ， 打 开 P P T 文 件 时 ， P P T 会 弹 出 “ 是 否 需 要 打 开 对 外 部 图 片 的 引 用 ” 提 示 ， 如 下 图 ： 这 也 正 是 为 什 么 运 行 程 序 时 ， 会 给 出 让 用 户 确 认 是 否 需 要 对 P P T 文 件 进 行 水 印 处 理 通 知 的 原 因 ， 防 止 高 级 攻 击 者 打 开 P P T 文 件 时 发 现 异 常 。 4 、 总 结 S c r i b b l e s 利 用 水 印 进 行 溯 源 追 踪 ， 利 用 了 o f f i c e 可 以 链 接 远 程 文 件 的 “ 漏 洞 ” ， 技 术 实 现 和 工 作 原 理 上 都 较 为 简 洁 ， 该 技 术 思 路 未 公 开 之 前 ， 效 果 也 颇 为 明 显 。 但 是 其 也 存 在 诸 多 弊 端 ， 一 方 面 如 其 说 明 文 档 所 述 ， 对 打 开 文 档 软 件 的 有 效 性 有 所 限 制 ， 如 在 L i n u x 系 统 中 的 L i b r e O f f i c e 中 打 开 时 会 失 效 。 另 一 方 面 ， 随 着 该 技 术 的 普 及 ， 攻 击 者 得 知 后 ， 可 以 在 断 开 网 络 的 主 机 上 查 看 窃 密 文 件 ， 或 者 打 开 文 件 之 前 断 开 网 络 ， 该 追 踪 策 略 也 即 失 效 。 当 然 该 技 术 目 前 看 还 是 有 很 大 的 应 用 场 景 的 ， 比 如 企 业 、 政 府 内 部 可 以 利 用 其 制 作 多 个 欺 骗 性 文 件 ， 以 此 感 知 未 被 发 现 的 文 件 窃 密 攻 击 等 等 。 还 有 众 多 应 用 场 景 ， 大 家 可 以 尽 情 发 挥 想 象 力 ！ H a p p y   h u n t i n g !
5 、 参 考 资 料 [ 1 ]   h t t p s : / / w i k i l e a k s . o r g / v a u l t 7 / # S c r i b b l e s [ 2 ]   h t t p : / / w w w . f r e e b u f . c o m / n e w s / 1 3 3 5 7 1 . h t m l * 本 文 原 创 作 者 ： A r k T e a m / W e l l e e ， 属 F r e e b u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载         阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理