Как можно добавить текст в закодированное изображение

Практическая стеганография. Скрытие информации в изображениях PNG

На хакерских конкурсах и играх CTF (Capture The Flag) иногда попадаются задачки на стеганографию: вам дают картинку, в которой нужно найти скрытое сообщение. Наверное, самый простой способ спрятать текст в картинке PNG — прописать его в одном из цветовых каналов или в альфа-канале (канал прозрачности). Для выявления подобных «закладок» есть специальные инструменты, такие как stegsolve, pngcheck и stegdetect, иногда конкурсантам приходится вручную повозиться с фильтрами в GIMP или Photoshop.

Однако прогресс не стоит на месте — и в последнее время всё чаще используются другие способы скрытия данных, например, PNG-наполнение. Посмотрим, как это делается.

Начнём с небольшого теоретического введения по «невидимым» частям PNG.

Альфа-канал

На экране компьютера при отображении картинки цвета создаются сочетанием красного, зелёного и синего компонентов. Эти три цветовые плоскости называются каналами. Обычно они записываются как RGB.

Кроме этих трёх каналов, в PNG может быть ещё четвёртый канал, называемый альфа (обозначается буквой А) для определения уровня прозрачности. Полученное изображение RGBA определяет видимые цвета и степень прозрачности.

В большинстве графических форматов альфа-канал является значением от 0% до 100% (или от 0 до 255 в байтах). Значение 0% (чёрный) обозначает место на изображении, где должна быть полная прозрачность — тут значение RGB игнорируется, и полностью виден фон под картинкой. Значение альфа-канала 100% (белый) означает, что каналы RGB полностью непрозрачны. Промежуточные значения определяют, насколько нужно смешать фон со значением RGB-пикселя.

Альфа-градиент в PNG

Значения альфа-градиента обычно используются для наложения изображения на другое изображение или на веб-страницу. Альфа-градиенты есть в PNG, WebP, ICO, ICN и других растровых форматах. Формат GIF поддерживает только логическое значение (пиксель либо прозрачен, либо нет).

Альфа-канал — только один из вариантов для размещения скрытого текста. Переходим к PNG-наполнению (padding) для прямой записи данных в бинарный файл.

PNG-наполнение по столбцам

Формат PNG достаточно прост. Каждый файл начинается с восьми стандартных байт подписи, вот её десятичные значения: 137 80 78 71 13 10 26 10 . Первый байт выбран за пределами ASCII, чтобы никакой редактор случайно не принял изображение за текстовый файл. Следующие три байта соответствуют буквам P, N, G. Затем разрыв строки DOS (13 10), маркер DOS окончания файла (26), чтобы программа type не выдавала весь бинарный мусор, и маркер Unix новой строки.

После заголовка начинаются блоки данных (chunks) со стандартной структурой. Сначала идёт блок IHDR с указанием ширины и высоты изображения, цветового пространства, количества бит на пиксель, методом сжатия, методом фильтрации и указанием наличия/отсутствия чересстрочного кодирования. Для ширины и высоты выделено по четыре байта, для остальных параметров — по одному байту.

Затем следует опциональный блок tEXt с текстовыми метаданными, например, с названием программы, которая сгенерировала данный файл PNG. В текстовые блоки можно записывать текстовую информацию в открытом виде.

За IHDR и tEXt следуют блоки IDAT со сжатыми значениями RGB или RGBA для растровых пикселей. При рендеринге PNG обрабатывается IHDR, выделяется буфер в памяти для изображения, данные извлекаются из сжатого формата и попиксельно записываются в буфер. Файл PNG завершается блоком IEND.

В конце каждого блока записана контрольная сумма CRC для этого блока, которая вычисляется по стандартному алгоритму.

Обычно изображения PNG содержат 8 или 16 бит информации на каждый канал RGB или RGBA, то есть выходит от трёх до восьми байт на пиксель. В таком формате все байты заняты полезной информацией о цвете и прозрачности, так что в конце каждой строки графического изображения у нас нет места для записи произвольных данных.

Но для задач стеганографии нужно знать, что PNG поддерживает и меньшую глубину цвета: 1 бит (2 цвета), 2 бита (4 цвета) и 4 бита (16 цветов). В такой ситуации получается, что в одном байте хранится информация о нескольких пикселях. Вот здесь и появляется теоретическая возможность для «горизонтального» наполнения PNG посторонними данными. Если ширина картинки в пикселях не кратна восьми, то в последнем байте строки остаётся неиспользуемые биты, которые все вместе формируют целый неиспользуемый «столбец пикселей».

В случае 1-битного изображения в конце каждой строки может остаться до 7 свободных бит, которые не будут обработаны парсером. В случае 2-битного изображения в последнем байте остаётся до 3 свободных бит. Онлайновый инструмент FotoForensics находит такие неиспользуемые «столбцы пикселей» в изображениях PNG.

Впрочем, PNG-картинки с малой глубиной цвета встречаются очень редко, поэтому и данный метод стеганографии можно считать экзотикой. Если вам попалось PNG-изображение с 2, 4 или 16 цветами, один этот факт уже вызывает подозрение и может инициировать проверку PNG-наполнения по столбцам.

Совсем другое дело — PNG-наполнение за границами картинки. Это более простой метод стеганографии, который позволяет спрятать в изображении гораздо больше информации.

PNG-наполнение за границами картинки

PNG-наполнение за границами картинки (post-pixel padding) часто используется в различных играх, головоломках и конкурсах, не только хакерских. Вот как работает этот метод:

Берём изображение PNG (с любой глубиной цвета).

Несложно догадаться, что в «секретной» части картинки можно спрятать не только текстовую надпись, но и произвольные данные. Например, мы можем записать туда запароленный архив RAR. Картинка с секретным посланием может быть опубликована на Habrastorage или любом другом общедоступном хостинге. Послание получит только тот человек, с которым вы заранее договорились о способе передачи информации и согласовали пароль. Таким способом вредоносные программы могут передавать полезную нагрузку через Хабр и другие общедоступные хостинги.

На правах рекламы

VDS для размещения сайтов — это про наши эпичные! Все серверы «из коробки» защищены от DDoS-атак, автоматическая установка удобной панели управления VestaCP. Лучше один раз попробовать 😉

Стеганография или как спрятать что-то в картинке ⁠ ⁠

Здравствуйте, пикабушцы (или как там вас звать). Это мой первый пост, так что расчитываю на критику в комментариях. Погнали!

Это, пожалуй, одна из самых популярных утилит стеганографии для Linux. Она поддерживает png, jpeg, bmp и некоторые другие. Он работает по не простому принципу, но сложные алгоритмы спрятались за простым интерфейсом. Объясню в двух словах: файл-картинка содержит данные о каждом пикселе в формате RGB, любое содержание цвета по RGB находится в диапазоне от 0 до 255 (2 байтовое число без знака). Вот как выглядит цвет с таким кодом RGB:

Очень красный, не так ли? Это — самый красный из всех красных, и он имеет код (255, 0, 0) и код бинарный (0b11111111)(8 бит, 2 байта). И что же делает steghide? Он использует последние 2 бита кода цветов (бывает и 1-3) для записи твоего текста или информации. Например, у тебя есть картинка 16×16, и есть текст: ‘»лол». Steghide берет «лол», шифрует его вашим паролем, расчитывает наиболее подходящий вариант сокрытия и просиходит примерно это: «\x3f»(л) = 0b01101100, steghide берет первые 2 бита, и перезаписывает ими последние два бита 1 пикселя картинки. Вот 2 картинки цветка. Первая содержит текст «Привет, пикабу! Я — скрытое сообщение!», а вторая — нет.

Вы видите разницу? Я — нет. Разница очень мала, ведь, допустим, насыщенность красного с 255 изменилась в 253. Не вооруженным глазом разницу никто не увидет.

Как использовать steghide?

Для начала надо его установить:

sudo apt-get install steghide

#sudo pacman -S steghide (если у вас Arch/Manjaro)

Далее вам нужна какая-нибудь картинка. Подойдет картинка JPEG. Пусть ее путь будет /home/pikabu/Desktop/target_photo.jpeg

Еще вам нужен файл, который вы хотите скрыть, например /home/pikabu/Desktop/to_hide.txt с содержанием «Тест для steghide». Теперь, когда у вас все есть, надо использовать команду:

Тут мы выполняем команду:

steghide embed -cf target_photo.jpeg -ef to_hide.txt

Далее мы вводим ваш код-пароль для дальнейшей расшифровки 2 раза. Вуаля! Теперь ваша картинка перезаписана картинкой с посланием. Для расшифровки выполним

steghide extract -sf targte_photo.jpeg

Далее вводим ранее введенный пароль и (возможно вам придется согласиться на перезапись фалйа to_hide.txt если вы его не удалили) у вас появляется ваш файл to_hide.txt с текстом «Тест для steghide». Вы можете поэксперементировать и удивить друзей. Больше команд:

Спасибо за просмотр, надеюсь вам понравилось. Тег мое, писал сам.

1.4K постов 25.1K подписчиков

Правила сообщества

Обязательно к прочтению для авторов:

1. Если вы добавляете пост, утверждающий об утечке данных или наличии дыр в системе, предоставьте ссылку на источники или технически подкованное расследование. Посты из разряда «Какой-то банк слил данные, потому что мне звонили мошенники» будут выноситься в общую ленту.
2. Все вопросы «Как обезопасить сервер\приложение\устройство» — в лигу «Компьютер это просто».

Обязательно к прочтению для всех:

Добавление ссылки разрешено если она не содержит описание коммерческих (платных) продуктов и/или идентификаторов для отслеживания перехода и для доступа не нужен пароль или оплата в т.ч. интернет-ресурсы, каналы (от 3-х тематических видео), блоги, группы, сообщества, СМИ и т.д.

Запрещены политические holy wars.

По решению модератора или администратора сообщества пользователь будет забанен за:

1. Флуд и оскорбление пользователя, в т.ч. провокация спора, флуда, холивара (высказывание без аргументации о конкретной применимости конкретного решения в конкретной ситуации), требование уже данного ответа, распространение сведений порочащих честь и репутацию, принижающих квалификацию оппонента, переходы на личности.

2. Публикацию поста/комментария не соответствующего тематике сообщества, в том числе обсуждение администраторов и модераторов сообщества, для этого есть специальное сообщество.

3. За обвинение в киберпреступной деятельности.

4. За нарушение прочих Правил Пикабу.

зачастую абсолютно бесполезный метод. как только ты загрузишь картинку с пикселем на какой нибудь ресурс, с вероятностью в 80% пиксель будет сломан и никакой инфы из него не вытащить

Писал диплом по стеганографии, в итоге через месяц выяснилось что в корочках написано стенография, обидно(

Меня хотят засудить за пост о тухляке в сети разливаек :(⁠ ⁠

Не прошло и пару дней, как наш доблестный ИП Парфëнов, владелец 5ти магазинов по продаже тухляка решил объявиться и грозно постучаться в вотсап.

Говорит, что хочет засудить по закону о коммерческой тайне.

К сожалению, кажется, он меня сразу же заблокировал и мое сообщение до него не доходит, поэтому, раз он читает мои посты, продублирую сообщение сюда.

Добрый день, А. А. , не мне вас учить как составлять досудебную претензию. Прошу направить претензию на моë имя с описью вложеного до востребования в отделении Почты России
ул. 8 Марта, 57, 620063. Прошу вложить в конверт, мою копию ГПХ, подписанную Вами и с печатью (Наконец-то я увижу его в таком виде в первый раз) . А также информацию передачи о начале и прекращению договора в СФР, подтверждение уплаты НДФЛ и Страховых взносов (вы же это делали?). В претензии приложить документ с моей подписью, где я уведомлен о коммерческой тайне. Приложить перечень что в компании считается коммерческой тайной.

И купить хотя бы печать, чтобы можно маркировать что коммерческая тайна, а что нет, но это я так. Вы же не упустили этот момент?

Отец в Нью-Гэмпшире (США) пришёл на заседание школьного совета в костюме Юлия Цезаря в знак протеста против гендерной политики учителя⁠ ⁠

Майкл Гульельмо назвал себя древнеримским императором и женщиной, а потом заявил, что верить в это нелепо. Мужчина призвал к отставке директора школы и преподавателя, который с недавних пор приходит на уроки в женской одежде.

«Ваш долг — действовать в интересах детей. Учить правде, а не лжи. Фактам, а не выдумкам. Биологии, а не социальной повестке. Будучи налогоплательщиками, мы заслуживаем, чтобы наших детей учили тому, за что мы платим. И это не социальная повестка, будь она с правым или левым уклоном», — отметил Гульельмо.

Американцы показали доказательства, что украинцы все таки взорвали Северный поток⁠ ⁠

Плохое настроение⁠ ⁠

В студенческие годы я жил в oбщaгe, сосед по комнате был немного дeпpeccивным и былa у него особенная фишкa. Cтoилo eму поругаться co cвoeй дeвушкoй, в учебе где то не успевал или пpocтo не было нacтpoeниe, то он садился и нaчинaл лeпить пeльмeни. B мopoзилкe вceгдa лeжaл гoтoвый фapш, в шкафу у нас всегда был пакет муки, пoэтoму oн включaл ceбe гpуcтную музыку и мог просидеть так больше двух часов за столом. Зa такой один присест мoг cлeпить 300-400 штук, пoтoм когда они замораживались, он раскладывал пo пакетам и oтдaвaл мнe и нашим соседям по этажу. Зoлoтoй был чeлoвeк, вспоминаю его по сей день. Жaль, чтo кoгдa у мoeй жeны плoxoe нacтpoeниe, oнa нe лeпит пeльмeни, a пpocтo пи*дит.

Это гениально я считаю⁠ ⁠

Константин Плотников, сыгравший Михаила Горшенёва в сериале «Король и Шут», подрабатывает дворником⁠ ⁠

Костя убирает территорию возле Александро-Невской лавры в Санкт-Петербурге. После премьеры сериала ему даже повысили зарплату.

Купите, твари, наушники⁠ ⁠

Бесит. Прям пичот.
Сколько раз уже сталкиваюсь с таким. Придут, сядут рядом/в комнате/на лавочке/в заведении, достанут телефон, откроют блядский тик-ток, Ютуб, что ещё там есть и, сука, громко смотрят ролики. Особенно это касается коротких роликов, которые на минуту и друг за другом идут подряд. Пять секунд одной громкой хрени, три секунды второй, опять три секунды первой хрени (нахуй ты блядь листал дальше и теперь опять возвращаешься и снова дальше листаешь, у тебя кретин ёбаный что, пальцы не слушаются?). И так короткими звуковыми волнами вся эта блядская музыка/басы/голоса выносят мозг. И что характерно, они даже звук не убавляют. Фильм смотрят- регулируют громче/тише, а тут пол часа телефон орёт разрывается, и сидят как ёбаные зомби, смотрят.
Купите, сука, наушники! Они продаются! Их можно прийти и прям с полки своими двумя руками взять. Боженька дал вам две руки именно для этого, чтобы вы могли ими что-нибудь взять. Так возьмите, блять, наушники и засуньте их себе в блядские уши.
Всё, я ебанулся, пойду водички попью.

Ответ kaegoorn48 в «Ситуации, когда человек строит из себя эксперта, не зная, что вы в этом деле профессионал» корчишь из себя профи⁠ ⁠

Произошло не со мной но при мне. Сварщ ки из жэка варили стояки в соседней квартире, там бабулька-божий одуванчик. Слышу она громко и матерно объясняет слесарям откуда у них руки растут. Что навешали они соплёй и что она сама себе заварит и чтоб они ей при этом не мешали. Мужики не долго ржали, бабуля с15 лет на танковом заводе начала сварщицей, варила броневую сталь и имела собственное клеймо, варила первые магистральные газопроводы. Такие вот у нас бабушки

Считаем бумагу⁠ ⁠

Бумага формата А4 под названием «Снегурочка», от компании Mondi.

Заявлено: 500 шт.

В стопке 25 листов. Пересчитывал 2 раза.

Я раньше считал бумагу на регулярной основе и именно у Снегурочки всегда было меньше, чем заявлено (на 10 листов бывало). Кому не лень — посчитайте свою. Это мне так не везёт или они всегда меньше фасуют, чем заявлено и оплачено?

PS: Без рекомендованных тегов не даёт опубликовать а предлагает не то, что нужно.

«Мегафон» решил передавать данные клиентов компаниям по выдаче микрозаймов, спрятав галочку «не согласен» в тексте⁠ ⁠

Компания «Мегафон» обновила мобильное приложение и решила передавать персональные данные (ПД) клиентов компаниям по выдаче микрозаймов и кредитов. Разработчики скрыли галочку «не согласен» в тексте нового соглашения. Пользователям нужно пролистать его до самого конца, найти строчку с отказом от услуги и только потом нажать большую зелёную кнопку «согласен».

Примечательно, что кнопка «Соглашаюсь» относится к тому, что «Мегафон» без возможности отказаться от такой опции вводит новую услугу предоставлению ПД абонента сторонним финансовым сервисам.

При выставлении галочки «не согласен» в интерфейсе соглашения большая зелёная кнопка «Соглашаюсь» не пропадает, её все равно нужно нажимать для продолжения работы с приложением. В итоге пользователям непонятно, что после этой процедуры оператор связи с клиента получил — «не согласие», «согласие» или «не согласие и потом согласие».

Ранее у «Мегафона» уже была подобная услуга, а для отказа от неё нужно было выполнить запрос с помощью ussd-команды: *105*1968#.

Оригинал статьи прочёл на Хабре

И жили они долго. ⁠ ⁠

Строгий контроль⁠ ⁠

Недавно вернулся из Израиля и заметил, что самый строгий контроль безопасности в аэропорту Бен Гурион. Проверяют очень тщательно и очень медленно. Заставляют несколько раз включать и выключать телефон, ноутбук, снимать обувь, открывают сумки, щупают руками. Но мне не повезло больше других. Мои ботинки вызвали какие-то подозрения и они надолго застряли в сканере. Несколько человек с умным видом смотрели на экран, а потом лоток с моей обувью забрал человек в форме, сказав лишь, что требуется дополнительная проверка. Больше свою обувь я так и не увидел. Несколько раз подходил к этим людям в форме, но они ли говорили, что ничего не знают. Пришлось ходить по аэропорту и лететь в Москву в носках.

Талантище⁠ ⁠

В детстве мама давала мне сдачу и я всегда клал её в копилку. Когда мама нашла эту копилку, спросила зачем? Я сказал, что хочу купить ей шубу, которую папа не хотел покупать. Мама расплакалась и на следующий день мне купили велик, на который я кстати и копил. Ведь талант пиздеть у меня был с раннего детства.

Откуда эти люди?⁠ ⁠

Ребят, а кто-нибудь понимает, что на тиндере происходит вообще?

Категория 25-32 почти вся саморазвивается, не сидит на месте, путешествует, постоянно пробует что-то новое, танцует бачату и катается на сноубордах.

Сижу с ипотекой, работой до позднего вечера в будни и домашними делами вроде стирки, уборки и готовки на выходных — пытаюсь понять, что я делаю не так.

Филиал профи ру какой-то.

Пакет⁠ ⁠

Полтора года я носил на тренировку все свои гигиенические принадлежности в пакете. Пакет был Вайлдберриз, выданный еще бесплатно вместо с каким-то заказом.
Первые полгода он был по-прежнему яркий и радовал своей сохраняющейся герметичностью. Он был такой один на всю душевую тренировочного зала. Я даже подумывал, что многие мужики мне втайне завидуют — ведь свой пакет я мог увидеть его из далека, он радовал своей плотностью и фактурностью, и из него еще ничего не вываливалось — потому что он был НОВЫЙ.
Спустя первые месяцы, как и преданный ухажер после регистрации брака, пакет начал жухнуть, блекнуть и продырявливаться. Но я стойко носил в нем на тренировку гель и мочалку, несмотря на уже ощутимые дырки, и попытки разным жидкостям, оставшимся после душевой сочиться из него прямо в рюкзак.

Через год он уже капитально подстерся и жена мне сказала, что уже крайне неудобно не то, что ходить с ним, но и брать его. Даже ей и даже ногами.
Я оправдывался бережливостью, заботой о природе, экономией, хотя при этом мог просто заказать на алишечке какой-то хреноты, эквивалентом 1000 таких пакетов.

Короче дожили мы с пакетом до нашего полиэтиленового юбилея совместной жизни в полтора года.
Я до сих пор помню тот день в феврале, когда я складывал в него на балконе гель и мочалку, которые сиюсекундно, не задерживаясь в чреве моего любимого, оказались на полу. Увы. Цветом он уже был похож на бордово-белое месиво из красок и букв. Мне пришлось с ним расстаться, приняв так долго откладываемое мучительное решение.

Первую неделю, как еще чувствующий в себе силы жеребец, я попытался завести роман с новым ярким пакетом Вайлдберриз, выданным мне в феврале еще на бесплатной основе. Но увы, он оказался не из того теста, что мой бывший — непрочность нового партера расстроила меня уже при первом посещении зала.
Я остановился на ноунейме, и вот уже вторую неделю пытаюсь насладится новым полиэтиленовым партнером.

НО вчера я увидел нечто, что повергло меня в шок.
Я увидел образец и эталон полиэтиленовой верности и я не смог пройти мимо.

Как поместить невидимый скрытый текст в картинку

Порой бывает необходимо передать по сети секретное сообщение, скрытое для посторонних глаз. Нет, даже не так. Надо передать файл, который внешне будет ничем не примечателен, но внутри себя содержать зашифрованный текст, доступ к расшифровке которого будет только у целевого получателя.

Например, вы послали через интернет человеку фотографию котика, которая для всех выглядит как обычная картинка. Но если загрузить это фото в специальный сервис для расшифровки, то становится видим скрытый секретный текст.

Как скрыть текст в картинке

Чтобы поместить невидимый текст в картинку или аудио файл, нажимаем ссылку «Encode an image» на главной странице сервиса и проделываем следующее:

1. Загрузите файл, кликнув по соответствующей кнопке.
2. Укажите пароль для расшифровки при желании. Пароль нужен в том случае, если вы хотите, чтобы для доступа к скрытому тексту недостаточно было бы просто открыть файл в данном сервисе, но нужно было бы еще и знать пароль. Как вы понимаете, наличие пароля значительно повышает надежность и секретность передаваемой информации.
3. В большом поле «Text» введите секретный текст. Кириллица не поддерживается, поэтому используйте для набора латиницу.
4. Вместо текста вы можете закодировать в изображении не только текст, но и целый файл любого типа! Для этого сделайте активной режим «File payload» и укажите нужный файл.
5. Нажмите кнопку «Отправить».
6. Скачайте полученный файл.

Изображение со скрытым текстом никак не отличается от обычного: ни при просмотре EXIF-информации, ни при открытии исходного не видно абсолютно ничего подозрительного. Полная секретность 🙂

Как расшифровать невидимый текст

Далее делаем следующие шаги:

1. Загружаем файл
2. Указываем пароль для расшифровки (если он был ранее установлен)
3. Нажимаем кнопку «Отправить»

Автоматически браузер откроет новое окошко, в котором вы сможете прочитать скрытое сообщение.

Если вы хотите через интернет отправить кому-либо секретное сообщение и не привлекать лишнего внимания, то лучше всего будет зашифровать его в картинке или звуковом файле. При обычном просмотре такие файлы ничем не отличаются от обычных, но внутри себя содержат то, что станет доступно только тому, кому это предназначено.

Как спрятать любой файл или текст внутри картинки

В дешевых старых шпионских фильмах самые секретные документы и уникальные драгоценности непременно располагались в скрытом за картиной потайном сейфе. Не знаю, чем вызвана популярность такого метода маскировки, но нечто подобное вы можете проделать и на своем компьютере. Утилита Free File Camouflage позволяет спрятать любой файл, в том числе текст, программу или другую картинку, внутри любого изображения в формате JPG.

Free File Camouflage — это крохотная бесплатная утилита, которая позволяет прятать конфиденциальную информацию под видом безобидных изображений. После скачивания и запуска программы нам достаточно лишь указать файл, который мы хотим скрыть, затем картинку, которая будет работать «прикрытием», и место сохранения результата. При желании можно задать пароль, без знания которого файл извлечь будет невозможно.

Для извлечения спрятанных данных достаточно просто переключиться на вкладку De-Camouflage a file, ввести путь к «картинке с секретом» и папку сохранения. Кроме этого, программа умеет интегрироваться с Проводником Windows, добавляя свой пункт в меню «Отправить«.

Free File Camouflage, благодаря своей бесплатности и простоте использования, вполне может пригодиться в тех случаях, когда у вас есть необходимость обезопасить свои файлы, но нет желания связываться со сложными системами защиты. С помощью этой утилиты можно быстро и надежно спрятать свои данные от любопытных глаз, не вызывая никаких ненужных вопросов.