Forensic

1. ROT13

Selon Wikipédia, "Le ROT13 (rotate by 13 places) est un cas particulier du chiffre de César, un algorithme simpliste de chiffrement de texte. Comme son nom l’indique, il s’agit d’un décalage de 13 caractères de chaque lettre du texte à chiffrer. Le défaut de ce chiffrement est que s’il s’occupe des lettres, il ne s’occupe pas des symboles et de la ponctuation. C’est pourquoi on doit supprimer toute accentuation du texte à chiffrer. Il ne s’occupe pas non plus des chiffres, ce qui était sans importance puisque les Romains écrivaient leurs chiffres avec des lettres (I, V, X, L, M, etc.). Pour l’utiliser aujourd’hui, il suffit de convertir d’abord les chiffres en utilisant la notation romaine, ou en lettres ("UN" pour1, "DEUX" pour 2...)."

La lettre O devient B, la lettre P devient C...

La librairie string de Python contient une fonction appelée maketrans qui permet de substituer un caractère à un autre.

ROT13=string.maketrans 
('abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPRSTUVWXYZ',  
'nopqrstuvwxyzabcdefghijklmNOPQRSTUVWXYZABCDEFGHIJKLM')
 

Dans le script suivant, nous allons ouvrir tous les fichiers .txt et lancer le cryptage ROT13 pour chaque ligne de chaque fichier. Nous allons ensuite regarder si la ligne contient un mot contenu dans le dictionnaire que l’on ouvre au début.

Si c’est le cas, nous afficherons un message indiquant que nous avons trouvé un message encodé en ROT13.

chap8_script1.py

#!/usr/bin/env python  
import sys, os, string  
ROT13=string.maketrans('abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOP 
QRSTUVWXYZ','nopqrstuvwxyzabcdefghijklmNOPQRSTUVWXYZABCDEFGHIJKLM' 
)  
fichier = open("dictionnaire")  
Fichier = fichier.readlines()  
for root, dir, files in os.walk(str(sys.argv[1])):  
        for file in files:  
                if ".txt" in str(file):  
                       trouvemot = 0  
      ...

1. Métadonnées MP3

La bibliothèque eyeD3 va nous permettre d’examiner les métadonnées des fichiers MP3.

Nous pouvons récupérer grâce à getArtist(), getAlbum(), getTitle() par exemple les données propres au fichier MP3 obtenues par eyeD3.tag().

chap8_script9.py

#!/usr/bin/env python  
import eyeD3  
tag = eyeD3.Tag()  
chemin=raw_input("donnez le chemin du fichier mp3\n")  
tag.link(chemin)  
print tag.getArtist()  
print tag.getAlbum()  
print tag.getTitle()
 

Nous pouvons aussi lire le fichier et accéder à son tag.

if eyeD3.isMp3File(f): 
      audioFile = eyeD3.Mp3AudioFile(f) 
      tag = audioFile.getTag()
 

Nous pouvons aussi récupérer les frames si elles existent.

import eyeD3  
tag = eyeD3.Tag()  
tag.link("/home/fasm/personnel/chansons/thiefaine/01_113_Cigarette mp3")  
for frame in tag.frames:  
    print frame
 

Il nous est possible aussi d’ajouter des informations aux tags

tag = eyeD3.Tag() 
tag.link('/home/fasm/personnel/chansons/thiefaine/01_113_Cigarette mp3') ...

1. Lire dans un fichier ZIP

Nous voulons examiner directement un ou plusieurs fichiers contenus dans une archive au format ZIP, sans la décompacter sur le disque.

Une bibliothèque existe, zipfile, qui va nous permettre de travailler directement sur les données contenues dans des fichiers ZIP.

#!/usr/bin/env python 
import zipfile 
z=zipfile.ZipFile("fichier.zip","r") 
for nom in z.namelist() : 
      print 'le fichier', nom, 
      nb_octets=z.read(nom) 
      print 'contient ', len(nb_octets),'octets.'
 

Nous pouvons aussi consulter le contenu des fichiers.

#!/usr/bin/env python 
import zipfile 
z = zipfile.ZipFile('test.zip', 'r') 
names = z.namelist() 
for name in names: 
    print 'Attente de %s' % name 
    print z.read(name) 
for name in names: 
    print 'en Attente de %s' % name 
    f = z.open(name) 
    contents = f.read()
 

2. Attaque brute force de mots de passe

Certains fichiers ZIP sont protégés par un mot de passe. Nous pouvons essayer de craquer ces mots de passe en partant d’un dictionnaire, appelé ici passFile et fourni en argument 2 lors du lancement du script, l’argument 1 étant le fichier ZIP.

#!/usr/bin/env python 
import...

1. Parcourir une arborescence

Nous devons examiner un répertoire ou toute une arborescence de répertoires situés dans un répertoire donné pour itérer sur les fichiers dont les noms correspondent à certains motifs.

Le générateur os.walk, déjà utilisé dans d’autres parties de ce livre, suffit à cette tâche.

#!/usr/bin/env python 
import os, fnmatch 
def tous_les_fichiers( racine, motifs='*', un_seul_niveau=False,  
repertoires = False): 
      motifs=motifs.split(';') 
      for chemin, sous_reps, fichiers in os.walk(racine): 
            if repertoires: 
                  fichiers.extend(sous_reps) 
            fichiers.sort() 
            for nom in fichiers: 
                  for motif in motifs: 
                        if fnmatch.fnmatch(nom,motif): 
                              yeld os.path.join(chemin,nom) 
                              break ...

1. Retrouver des e-mails dans des fichiers

Si nous souhaitons récupérer à partir d’une liste de fichiers toutes les adresses e-mail contenues dans ces fichiers, le script suivant pourra nous être très utile.

chap8_script12.py

def grab_email(files = []): 
    found = [] 
    if files != None: 
        mailsrch = re.compile(r'[\w\-][\w\-\.]+@[\w\-][\w\-\.] 
+[a-zA-Z]{1,4}') 
         
        for file in files: 
            for line in open(file,'r'): 
                found.extend(mailsrch.findall(line)) 
    u = {} 
    for item in found: 
        u[item] = 1 
    return u.keys() 
file=['texte1.txt','texte2.txt','texte3.txt'] 
 
retour=grab_email(file) 
print retour 
 

Dans le même répertoire, nous allons placer trois fichiers texte, texte1.txt, texte2.txt et texte3.txt ; voici leur contenu :

::::::::::::::  
texte1.txt  
::::::::::::::  
un petit texte tout sympa  
qui contient un mail fasm@acissi.net et pis c'est tout  
mais regardons le prochain  
::::::::::::::  
texte2.txt  
::::::::::::::  
la il n'y a pas de mail mais...

1. Rechercher des informations dans une image

Pour appliquer Python à la stéganographie, nous allons prendre une image, oxygen.png, disponible en téléchargement sur le Net, qui contient des données cachées.

Nous remarquons que cette image comporte une barre avec un dégradé de gris, le message caché doit être ici.

Nous allons utiliser de nouveau la bibliothèque PIL déjà vue et en particulier Image.

#!/usr/bin/env python 
import Image 
im = Image.open("oxygen.png") 
print "Image info:",im.format, im.size, im.mode 
#limitation de la zone grise 
y_begin = 0 
while True: 
      p = im.getpixel((0, y_begin)) 
      if p[0] == p[1] == p[2]: 
            break 
      y_begin += 1 
x_end = 0 
while True: 
      p = im.getpixel((x_end, y_begin)) 
      if not p[0] == p[1] == p[2]: 
            break 
      x_end += 1 
print "Y first coordinate:", y_begin,"nX last coordinate:",x_end 
message=[] 
for i in range(0,x_end,7): 
      p = im.getpixel((i, y_begin)) 
      message.append(chr(p[0])) 
print ''.join(message), 
#First run gives: [105, 110, 116, 101, 103, 114, 105, 116, 121] 
message=[105, 110, 116, 101, 103, 114, 105, 116, 121] 
print '(',''.join([chr(x) for x in message]),')'
 

Toutes les librairies, fonctions et méthodes ont déjà été vues précédemment, nous n’y reviendrons donc pas ici.

2. Cacher un message dans une image

Chaque pixel est défini par un triplet de trois nombres entiers compris entre 0 et 255, le premier donnant la composante rouge, le deuxième...

1. Informations sur l’image

Volatility est assez simple d’installation, des exemples d’utilisation sont très bien documentés sur le site. Voici, pour vous donner l’eau à la bouche, un exemple issu du site de Volatility.

Recherche dans le fichier dump des informations sur le système :

2. Processus et DLL

Recherche dans le fichier dump des processus et DLL lancés et utilisés par le système :

3. Capture de mots de passe hachés

Obtenir les mots de passe hachés après la pénétration d’un système Windows est commun pour un attaquant.

Volatility fait cela très facilement. Nous allons d’abord regarder comment utiliser les plug-ins nécessaires à cela et essayer de trouver...

1. Décryptage

Énoncé

Nous avons cette phrase :

nkxtg uwt nc ugewtkvg kphqtocvkswg gv ng gvjkecn jcemkpi : vqwv kphqtocvkekgp ugpukdknkug cw eqpegrv fg nc ugewtkvg kphqtocvkswg ocku- pqxkeg qw fgdwvcpv fcpu ng fqockpg fg nc ugewtkvg fgu uauvgogu f’kphqtocvkqpu. Sqp cfcig guv crrtgpftg ngu cvvcswgu rqwt okgwz ug fghgpftg.

Créez un script qui la décrypte.

Correction

import string 
cyphertext = "nkxtg uwt nc ugewtkvg kphqtocvkswg gv ng gvjkecn 
jcemkpi : vqwv kphqtocvkekgp ugpukdknkug cw eqpegrv fg nc ugewtkvg 
kphqtocvkswg ocku pqxkeg qw fgdwvcpv fcpu ng fqockpg fg nc 
ugewtkvg fgu uauvgogu f'kphqtocvkqpu. Sqp cfcig guv crrtgpftg ngu 
cvvcswgu rqwt okgwz ug fghgpftg." 
 
fromlist = "abcdefghijklmnopqrstuvwxyz" 
tolist = "cdefghijklmnopqrstuvwxyzab" 
 
transtable = string.maketrans(fromlist, tolist) 
 
print string.translate(cyphertext, transtable)
 

2. OCR

Énoncé

Vous trouverez en téléchargement depuis la page Informations générales un fichier texte nommé ocr.txt.

Un mot y est caché et chacune de ses lettres est très « rare » dans le fichier. Recherchez les lettres qui n’apparaissent qu’une seule fois.

Correction

mess = open("ocr.txt").read() 
dict = {} 
for ch in mess: 
     ...