BUUCTF misc 解题记录 一（超级详细）

N种方法解决(运行不了的文件尝试改成txt文件)

附件下载是一个exe文件，我还运行不了。。这咋办

改成txt文件看看

好像有什么东西藏在里面 前面有个jpg 还有base，用winhex打开看看

到这没思路了，看wp

base64可以表示图片

这个让我这个菜鸡人傻了

转换网站点这

转换完还能帮你另存为，真不错

扫一下就OK了

LSB（图片通道上方隐藏信息用save bin）

因为提示lsb，所以先用stegsolve打开看看

这样设置就行了

开始我以为这就完事了，傻傻的把{}里面的当成flag了

输了发现不是，然后又更换了几个选项，还是不行，只好看看wp

原来要查看图片通道：
发现这上面好像隐藏着东西，这样就要用到save bin的操作

保存后用哦010打开看看

发现是png文件

这样就有了

zip伪加密

刚好借着这题把我没搞懂的伪加密弄懂

首先肯定是用010打开

我记得伪加密应该是把什么09改成00吧，既然不记得了，来系统的学习一下，转载大佬的博客

来了解一下ZIP文件的组成
一个 ZIP 文件由三个部分组成：
　　压缩源文件数据区+压缩源文件目录区+压缩源文件目录结束标志
　　
a.压缩源文件数据区：

50 4B 03 04：这是头文件标记（0x04034b50）
14 00：解压文件所需 pkware 版本
00 00：全局方式位标记（有无加密，奇数加密，偶数无加密）
08 00：压缩方式
5A 7E：最后修改文件时间
F7 46：最后修改文件日期
16 B5 80 14：CRC-32校验（1480B516）
19 00 00 00：压缩后尺寸（25）
17 00 00 00：未压缩尺寸（23）
07 00：文件名长度
00 00：扩展记录长度
6B65792E7478740BCECC750E71ABCE48CDC9C95728CECC2DC849AD284DAD0500

b.压缩源文件目录区:
1
50 4B 01 02：目录中文件文件头标记(0x02014b50)
3F 00：压缩使用的 pkware 版本
14 00：解压文件所需 pkware 版本
00 00：全局方式位标记（有无加密，奇数加密，偶数无加密）
08 00：压缩方式
5A 7E：最后修改文件时间
F7 46：最后修改文件日期
16 B5 80 14：CRC-32校验（1480B516）
19 00 00 00：压缩后尺寸（25）
17 00 00 00：未压缩尺寸（23）
07 00：文件名长度
24 00：扩展字段长度
00 00：文件注释长度
00 00：磁盘开始号
00 00：内部文件属性
20 00 00 00：外部文件属性
00 00 00 00：局部头部偏移量
6B65792E7478740A00200000000000010018006558F04A1CC5D001BDEBDD3B1CC5D001BDEBDD3B1CC5D001

c.压缩源文件目录结束标志:
1
50 4B 05 06：目录结束标记
00 00：当前磁盘编号
00 00：目录区开始磁盘编号
01 00：本磁盘上纪录总数
01 00：目录区中纪录总数
59 00 00 00：目录区尺寸大小
3E 00 00 00：目录区对第一张磁盘的偏移量
00 00 1A：ZIP 文件注释长度
————————————————
版权声明：本文为CSDN博主「宁嘉」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。

也就是说，我们主要看的就是全局方式位标记，分别在这两个地方：

记住它就行了

把这两个都改成00

另外一个世界（二进制转字符：ASCII码）

图片用010打开看到：

这么一串二进制肯定有问题，我开始的想法是转成16进制再转字符
得到这个
然后一直不对，看wp，答案是这个

wp是将每八位二进制数字分开，用ASCII码得到的

为什么就差一个字母不一样？不懂，有大佬解释一下嘛

FLAG（save bin 分析文件类型）

这题是因为写了一半卡住了没思路。。看了wp才知道可惜了

其他方法都试过了，010打开看的时候也没发现里面藏了文件，所以最后用stegsolve打开看看是不是lsb

因为前面那题save bin 的先例，所以这题我也试了试 ，用010打开

但是我不知道这就是压缩包文件，所以就没做出来，后缀改成zip，解压后用010打开就有了

假如给我三天光明（盲文）

实在没想到下面这个是盲文（不应该）

搜盲文对照一下

也就是：kmdonowg

这样就能解压出音频文件了

应该是摩斯电码：-.-. - …-. .-- .–. . … ----- —… --… …-- …— …–… …— …-- -… --…
按粗细分-和.
这样就得到了：

但是最后提交的时候还要改成小写，这是为什么。。

后门查杀（用d盾查杀木马）

差点以为点错地方了，还以为是web题呢

这里需要用到一个工具会比较简单：d盾

直接扫描大文件夹（文件太多了一个个看太麻烦）