检测隐藏数据（隐写分析）

隐写分析是检测隐藏数据的科学，也是隐写术的对应领域。它的目标不一定是读取载荷，而是先回答一个更简单的问题：这个文件中到底有没有隐藏数据？

隐写分析对防御者很重要，因为隐藏数据可以躲过基于特征的工具。藏在无害图像中的恶意载荷能够通过防病毒扫描和数据丢失防护过滤器，这正是隐藏的目的。

检测范围从简单的（发现追加的文件）到极其困难的（对使用良好密钥和部分速率嵌入的数据进行统计检测）。

隐写分析按照分析人员掌握的信息进行分类，这与密码分析相似：

• 仅隐写对象：只能获得可疑文件；这是最困难、也最常见的情况。
• 已知载体：还可以获得原始的干净载体；通过比较可以立即发现变化。
• 已知消息：已知隐藏的消息，用于查找嵌入方法。
• 选择隐写对象：分析人员可以运行嵌入工具来研究其特征。

现实世界中的大多数检测都属于仅隐写对象场景，这正是统计方法如此重要的原因：您很少能获得原始文件进行比较。

在进行复杂的统计分析之前，请先检查基础情况。许多业余尝试会在简单的结构检查中暴露出来：

• 文件大小 大于可见内容通常所需的大小。
• 尾随数据 格式的文件结束标记之后仍存在的内容。
• 嵌入文件 从图像中提取出的 ZIP 或可执行文件。
• 可读字符串 不应出现在媒体文件中的明文。

binwalk、字符串提取工具和文件类型识别工具等，可以在几秒内发现这些问题。

图像和文档格式包含元数据字段，例如 EXIF 标签、注释块和 XMP，这些字段可以存放任意文本。由于查看器从不显示这些内容，将数据隐藏在这里虽然粗糙，却很常见。

请始终检查元数据：

• EXIF 注释、UserComment 和 ImageDescription 字段。
• JPEG/PNG 注释块。
• PDF 对象流和文档属性。

这是隐藏数据成本最低的位置之一，因此分析人员通常会首先检查这里。

检测 LSB 的一种强大技术是位平面分析。一幅 8 位图像可以拆分为 8 个层，每个位位置对应一个层。最高位平面承载着可识别的图像；最低位平面通常看起来像随机噪声。

在干净的图像中，LSB 平面会受到自然传感器噪声和纹理的影响。当使用完整 LSB 嵌入数据时，该平面通常会显示出结构，例如规则图案、块状区域或隐藏载荷的可见轮廓。

StegSolve 和 zsteg 等工具可以让您查看各个位平面，从而凭肉眼发现这些异常。

最强大的检测方法是统计分析：隐藏数据会微妙地扰乱像素值或系数值的自然分布。嵌入位会以数学方法能够发现的方式使随机性趋于平坦。

关键方法包括：

• 卡方攻击检测数值对（例如 200/201）的出现频率是否变得相等，而这在真实图像中并不自然。
• RS 分析（规则/奇异）通过翻转 LSB 并测量图像平滑度的变化来估算嵌入率。
• 样本对分析检查相邻样本之间的关系。

即使载荷经过加密，这些方法仍然有效，因为它们检测的是嵌入行为，而不是消息内容。

卡方攻击利用了顺序 LSB 嵌入的一项具体弱点。在自然图像中，数值 200 和数值 201 的出现频率不同。但 LSB 嵌入会根据随机载荷位在二者之间进行翻转，因此往往会使每一对数值（称为数值对）的出现频率大致相等。

卡方检验会测量这些数值对的频率接近相等的程度。在许多数值对中，如果相等的概率很高，就表明存在嵌入。通过在图像不断增大的部分上运行检验，分析人员甚至可以估算隐藏了多少数据，以及数据在哪个位置停止。

现代隐写分析越来越多地使用机器学习。分类器不再依赖某一种固定统计量，而是通过大量示例学习干净图像与隐写图像之间的差异。

• 经典机器学习会提取丰富的特征集（例如 SPAM 或 SRM 特征）来捕捉像素关系，然后训练分类器。
• 深度学习使用卷积神经网络，直接从原始图像中学习检测特征。

机器学习擅长捕捉能够避开人工设计统计方法的自适应隐写技术，但它需要具有代表性的训练数据，也可能被它从未见过的方法规避；这场攻防较量仍在继续。

有时，最简单的检测方法是识别工具，而不是识别数据。许多隐写程序会留下容易辨认的痕迹：

• 文件中特定的字节签名或标记。
• 具有特征性的容量与质量权衡。
• steghide、OpenStego 或 OutGuess 等工具留下的已知标头。

StegExpose 和 stegdetect 等专用检测器会检查图像中流行嵌入工具留下的指纹。在端点设备上，仅检测到安装或运行过隐写工具本身，就是一个强有力的指标。

当您无法可靠地检测隐藏数据时，仍然可以将其清除。主动隐写分析无需找到载荷即可将其破坏：

• 重新编码在网关处重新压缩每幅图像（例如重新编码为全新的 JPEG），从而破坏简单的 LSB 数据。
• 调整大小/裁剪重新采样会改变每个像素值。
• 清除元数据移除所有 EXIF 和注释字段。
• 格式规范化将所有上传内容转换为单一的标准格式。

这是电子邮件网关和内容平台的一种实用防御措施：假定可能存在隐藏数据，并主动将其清除。

将这些方法整合为一套防御方流程，并首先执行成本最低的检查：

• 1. 结构运行 file、binwalk 和 strings，检查追加或嵌入的数据。
• 2. 元数据使用 exiftool 检查 EXIF 和注释字段。
• 3. 视觉使用 zsteg 或 StegSolve 进行位平面分析。
• 4. 统计进行卡方分析、RS 分析，并使用工具检测器。
• 5. 机器学习在大规模场景中使用分类器进行筛查。
• 6. 主动防御当检测结果不确定时，通过重新编码进行清理。

单独的检验都无法得出结论；只有将多种方法结合起来，才能建立可信度。

请检验您对统计检测的理解。

您已经学习了分析人员如何发现隐藏的载荷。

• 隐写分析首先要判断是否存在隐藏数据，而不是判断数据写了什么；大多数情况都只是仅含隐写数据。
• 从成本低廉的结构和元数据检查开始：文件类型识别工具、binwalk、字符串提取工具和 exiftool。
• 位平面分析（zsteg、StegSolve）可以揭示 LSB 平面中的结构，从而暴露数据嵌入。
• 统计方法（卡方分析和 RS 分析）即使面对加密载荷，也能检测出嵌入行为。
• 机器学习能够捕捉避开固定统计方法的自适应隐写技术。
• 工具检测器和主动隐写分析（重新编码、清除元数据）可以识别或清除载荷。
• 按照成本从低到高叠加使用这些技术，以实现可靠检测。

接下来，我们将了解隐蔽信道，以及攻击者如何外泄数据。