Abre cualquier archivo y mira qué esconde:

así es InspectorKit, la caja de herramientas forense y para CTF que funciona en el navegador

Formación y entrenamiento  |  unfantasmaenelsistema.com

En un reto CTF o en el triaje de un incidente, los primeros minutos siempre se parecen: qué es de verdad este archivo, qué metadatos lleva, si tiene algo pegado al final, qué cadenas contiene, si ese texto raro es Base64, un César o un hash, y de qué tipo. Para cada pregunta hay una herramienta distinta —file, exiftool, binwalk, strings, zsteg, CyberChef, hashid, pdfid…—, y saltar de una a otra cuesta tiempo, sobre todo cuando no se tiene a mano una máquina con todas instaladas.

InspectorKit reúne lo esencial de todas ellas en una sola página que funciona en el navegador y no sube nada a ningún sitio. Es, además, la evolución de cinco herramientas web anteriores de la casa que se han fusionado y corregido en una sola. Este artículo no es un tutorial forense, sino una presentación de la herramienta: qué hace cada pestaña, qué se ha corregido y a quién le va a resultar útil.

1. Una caja de inspección sin servidor

InspectorKit es una web estática: sin servidor, sin cuentas, sin base de datos y sin analítica. Los archivos se leen con la API de archivos del navegador y no salen del equipo, algo importante cuando lo que se analiza es una prueba de un incidente o un documento confidencial. La única petición de red opcional es una prueba de cabeceras que va directamente a la URL que escriba el usuario. Está en español e inglés, con tema claro u oscuro, y el código es abierto, publicado en GitHub con licencia MIT.

Las cuatro pestañas se pasan el trabajo entre sí: una cadena Base64 encontrada en un ejecutable va a Cifrados con un clic, un hash extraído va al identificador, y un ZIP escondido al final de una foto, o la salida binaria de un decodificador, se vuelve a analizar como archivo. Es el flujo natural de un reto CTF, sin copiar y pegar entre herramientas.

2. Archivo: el triaje completo

Es la pestaña más completa. Al soltar un archivo, InspectorKit hace en un momento lo que normalmente exige media docena de utilidades:

• Tipo real por su firma, con aviso si la extensión engaña, entropía y hashes MD5, SHA-1 y SHA-256.
• Metadatos: EXIF, XMP e IPTC con coordenadas GPS y miniatura incrustada; textos de PNG y comentarios de JPEG y GIF; información y elementos activos de un PDF, al estilo de pdfid, también dentro de flujos comprimidos; autor, empresa, macros y plantillas remotas en documentos de Office; contenido y tipo de cifrado de un ZIP; y cabeceras de ejecutables PE y ELF.
• Lo que no debería estar ahí: datos añadidos tras el final del archivo, archivos incrustados, ZIP pegados que convierten una imagen en un políglota y PNG con la altura manipulada para ocultar parte de la imagen, con reparación automática.
• Esteganografía LSB: planos de bits, búsqueda automática al estilo de zsteg, extracción manual y el ataque estadístico chi-cuadrado.
• Cadenas ASCII, UTF-8 y UTF-16LE (las de los ejecutables de Windows), búsqueda que cuenta cada aparición y búsqueda de bytes con comodines.
• Indicadores y secretos: URL, IP, correos, rutas, claves de registro, hashes y Base64, además de claves de AWS, Google, GitHub, Slack o Stripe, JWT y claves privadas.
• Borrado de metadatos de JPEG y PNG sin recomprimir la imagen, y un visor hexadecimal.

3. Hash: calcular, verificar e identificar

La pestaña Hash calcula MD5, SHA-1, SHA-256, SHA-384, SHA-512, CRC32 y NTLM de un texto o un archivo, y lo comprueba contra el hash publicado, por ejemplo para verificar una descarga. Su otra mitad es un identificador de hashes que reconoce formatos por longitud y estructura —líneas de /etc/shadow, bcrypt, phpass, Django, LDAP, MySQL, MSSQL, volcados SAM, NetNTLMv1 y v2, tickets de Kerberoasting y AS-REP, DCC2…— y da para cada uno su modo de hashcat y su formato de John the Ripper.

4. Cifrados: veintitrés transformaciones y un botón de «magia»

La pestaña Cifrados codifica y decodifica, en los dos sentidos y encadenadas como una receta, Base64, Base32, Base58, Ascii85, hexadecimal, binario, decimal, URL, entidades HTML, Morse, Bacon, ROT13, ROT47, César, Atbash, Vigenère, afín, rail fence, escítala, Polibio, Playfair y XOR. Para los cifrados clásicos incluye ataques sin clave: fuerza bruta de César, afín, rail fence y escítala; Vigenère por índice de coincidencia y chi-cuadrado, en español y en inglés; y XOR de un byte y de clave repetida. El botón de «magia» detecta hasta tres capas de codificación superpuestas y ordena los resultados por lo que más se parece a texto legible, el atajo perfecto para esas cadenas de CTF que son un Base64 de un hexadecimal de un ROT13.

5. Cabeceras: auditar sin engañarse

La última pestaña audita las cabeceras HTTP de seguridad: HSTS, CSP directiva a directiva, protección contra clickjacking, nosniff, Referrer-Policy, Permissions-Policy, COOP y CORP, CORS, fugas de versión y cookies (Secure, HttpOnly, SameSite y los prefijos __Host- y __Secure-). Da una nota al estilo de los servicios de análisis de cabeceras, recomendaciones y un informe en Markdown.

Hay un detalle importante en cómo lo hace: las cabeceras se pegan desde curl o desde las herramientas de desarrollo, y la propia herramienta genera las órdenes de curl y PowerShell para obtenerlas. No es un capricho: una página web no puede leer de forma fiable las cabeceras de otro sitio, porque el navegador bloquea la petición por CORS o, cuando la deja pasar, oculta casi todas las cabeceras. El botón «Probar desde el navegador» existe precisamente para explicar qué deja ver el navegador y por qué eso no sirve para auditar.

6. Cinco herramientas en una, corregidas

InspectorKit sustituye a cinco webs anteriores de la casa (StegaScan, StringerThings, HashInspector, C1PH3R y HttpInspector), y la fusión ha servido para corregir fallos que daban resultados falsos: el analizador de cabeceras daba por ausentes cabeceras que sí estaban por culpa precisamente del bloqueo del navegador; el de esteganografía en realidad solo leía EXIF; el de hashes no verificaba; el de cadenas contaba líneas en lugar de apariciones y no veía las cadenas UTF-16; y el de cifrados rompía la escítala con longitudes irregulares o decodificaba mal el Base64 con tildes y eñes.

Los motores se han probado fuera del navegador contra referencias conocidas: los hashes contra la biblioteca criptográfica de Node y los vectores de los RFC, los cifrados contra vectores publicados, la lectura de estructuras contra archivos fabricados con bibliotecas de Python y ejecutables reales de Windows, el decodificador PNG propio bit a bit contra Pillow, y la extracción LSB contra lo que esconde la herramienta stegano. Todo texto que procede de un archivo se escapa antes de mostrarse, para que un archivo malicioso no pueda inyectar código en la página.

7. ¿Para quién es?

InspectorKit está pensado para jugadores de CTF que quieren resolver los retos de forense, esteganografía y criptografía clásica sin montar una máquina con veinte utilidades, para analistas forenses y de respuesta a incidentes que necesitan un triaje rápido sin subir pruebas a servicios en línea, para auditores web que revisan cabeceras de seguridad, y para docentes y alumnos de ciberseguridad que quieren ver en una sola pantalla qué información esconde un archivo cualquiera.

Conclusión

Un archivo casi nunca es solo lo que aparenta: lleva metadatos que delatan a su autor y su ubicación, puede tener otro archivo pegado al final, esconder un mensaje en los bits menos significativos de sus píxeles o contener una clave que nadie debería haber dejado ahí. Encontrarlo exige mirar con las herramientas adecuadas, y en el orden adecuado.

InspectorKit pone esas herramientas en una sola página, conectadas entre sí, probadas contra referencias reales y sin que el archivo salga del equipo. Suelta en él la próxima imagen de un reto, o cualquier foto de tu móvil, y mira lo que aparece: casi siempre hay más de lo que parece.

unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)