文件类型识别

文件类型识别

1.file命令

使用场景：不知道后缀名，无法打开文件

格式：file 文件名

2.winhex

使用场景：Windows下通过文件头信息判断文件类型

3.文件头残缺/错误

使用场景：文件头残缺或文件头部字段错误无法打开文件

修复：使用winhex修改文件头

文件分离操作

1.binwalk工具

用来分析和分离文件的工具

用法：

分析文件：binwalk 文件名

分离文件：binwalk -e 文件名

2.foremost工具

用法

foremost 文件名 -o 输出目录名

3.dd

格式

dd if=源文件 of=目标文件名 bs=1 skip=开始分离的字节数

4.winhex

文件合并操作

1.linux下的文件合并

格式：cat 合并的文件 > 输出的文件

完整性检测：linux下计算文件md5

md5sum 文件名

2.windows下的文件合并

格式：copy /B 合并的文件 输出的文件命令

完整性检测：windows下计算文件md5

certutil -hashfile 文件名 md5

文件内容隐写

就是直接将key以十六进制的形式写在文件在，通常在开头或结尾部分，若在文件中间部分，通常搜索关键字来查找隐藏内容

1.winhex

2.nodepad++

图片隐写

1.细微的颜色差别

2.gif图多帧隐藏

颜色通达隐藏

不同帧图信息隐藏

不同帧对比隐写

3.exif信息隐藏

4.图片修复

tweakpng工具

使用场景：文件头正常却无法打开文件，利用tweakpng修改crc

高度错误时使用python计算高度

图片头修复

图片尾修复

crc校验修复

长宽高修复

5.最低有效位lsb隐写

zstg工具：安装：gem install zstg

​ 命令：zstg 文件名

wbsteg04工具针对bmp图片

6 图片加密

bftools用于解密图片信息

格式：Bftools.exe decode braincopter 要解密的图片名称 -output 输出文件名

Bftools.exe run 上一步输出的文件

silentype图片解密工具

stegdetect工具探测加密方式。针对jpg加密

stegdetect 图片名

stegetect -是敏感度 图片名

outguess

outguss -r 要解密的文件 输出结果文件名

jphide：jphs工具

f5

Java Extract 要解密的文件名 -p 密码

压缩文件分析

伪加密

暴力破解：ARCHPR.exe

明文攻击：指知道加密的zip中部分文件的内容，利用这些内容推测出密钥并解密zip文件的攻击方法

wireshark常用过滤命令

1.过滤ip

ip.src eq x.x.x.x or ip.dst eq x.x.x.x

2.过滤端口

tcp.port eq 80 or udp.port eq 80

tcp.dstport == 80 只显示tcp协议的目标端口为80

tcp.srcport ==80 只显示tcp协议的源端口为80

tcp.port >= 1

3.过滤协议

tcp/udp/arp/icmp…

4.过滤mac

eth.dst == mac地址

5.包长度过滤

udp.length == 26

tcp.len >= 7

6.http模式过滤

http流汇聚关键内容

1、html中直接包含重要信息

2.上传或下载文件内容，通常包含文件名，hash值等关键信息，常用post请求上传

3.一句话木马，post请求，内容包含eval，内容使用base64加密

无线流量包

aircrack-ng工具进行wife密码破解

1.用aircrack-ng检查cap包：aircrack-ng xxx.cap

2.用aircrack-ng跑字典进行握手包破解：aircrack-ng xxx.cap -w pass.txt

usb流量

键盘流量

暴力破解：ARCHPRH.exe