N1BOOK MISC

[第九章 CTF之MISC章]两个部分的flag

题目描述：flag书中自然有，有两个部分哦
下载到一张图片stego.png
hex分析以PK结尾，foremost分离压缩包，解压后获得新的图片2.jpg
查看属性信息获得part1（wonima）

第二部分要分析下载的图片，使用zsteg

n1book{414e529ece64a77d25cc9ee5108a49c6}

zsteg介绍：
zsteg可以检测PNG和BMP图片里的隐写数据。
目前，zsteg支持检测：

1. LSB steganography in PNG & BMP
2. zlib-compressed data
3. OpenStego
4. Camouflage 1.2.1
5. LSB with The Eratosthenes set

使用方法：
查看LSB信息

zsteg pcat.png

检测zlib

# -b的位数是从1开始的
zsteg zlib.bmp -b 1 -o xy -v

显示细节

zsteg pcat.png -v

尝试所有已知的组合

zsteg pcat.png -a

导出内容

zsteg -E "b1,bgr,lsb,xy" pcat.png > p.exe

其他的请查看README.md

[第九章 CTF之MISC章]压缩包中的乐趣

题目描述：flag书中自然有，依然有两个部分哦（妈的，误导，就一个部分）
下载是1.zip一个压缩包
爆破了半天没爆破出来密码，winrar rebuild修复也没解出来伪加密，卡住半天搜wp，考点还是伪加密

伪加密知识点

zip伪加密是在文件头的加密标志位做修改，进而再打开文件时识被别为加密压缩包
一个 ZIP 文件由三个部分组成：
压缩源文件数据区+压缩源文件目录区+压缩源文件目录结束标志

---

1. 压缩源文件数据区：

50 4B 03 04：这是头文件标记（0x04034b50）
14 00：解压文件所需 pkware 版本
00 00：全局方式位标记（有无加密）
08 00：压缩方式
5A 7E：最后修改文件时间
F7 46：最后修改文件日期
16 B5 80 14：CRC-32校验（1480B516）
19 00 00 00：压缩后尺寸（25）
17 00 00 00：未压缩尺寸（23）
07 00：文件名长度
00 00：扩展记录长度

2. 压缩源文件目录区：

50 4B 01 02：目录中文件文件头标记(0x02014b50)
3F 00：压缩使用的 pkware 版本
14 00：解压文件所需 pkware 版本
00 00：全局方式位标记（有无加密，这个更改这里进行伪加密，改为09 00打开就会提示有密码了，当数字为奇数是为加密，为偶数时不加密）
08 00：压缩方式
5A 7E：最后修改文件时间
F7 46：最后修改文件日期
16 B5 80 14：CRC-32校验（1480B516）
19 00 00 00：压缩后尺寸（25）
17 00 00 00：未压缩尺寸（23）
07 00：文件名长度
24 00：扩展字段长度
00 00：文件注释长度
00 00：磁盘开始号
00 00：内部文件属性
20 00 00 00：外部文件属性
00 00 00 00：局部头部偏移量

3. 压缩源文件目录结束标志：

50 4B 05 06：目录结束标记
00 00：当前磁盘编号
00 00：目录区开始磁盘编号
01 00：本磁盘上纪录总数
01 00：目录区中纪录总数
59 00 00 00：目录区尺寸大小
3E 00 00 00：目录区对第一张磁盘的偏移量
00 00：ZIP 文件注释长度

---

更改后可以正常解密

发现解压的压缩包CRC值完全一样

这里考虑使用已知明文攻击

明文攻击知识点

我们为zip压缩文件所设定的密码，首先被转换成3个32bit的key，所以可能的key的组合是2^96，这是个天文数字
如果用暴力穷举的方式是不太可能的，除非你的密码比较短或者有个厉害的字典。
压缩软件用这3个key加密所有包中的文件，也就是说，所有文件的key是一样的，如果我们能够找到这个key，就能解开所有的文件。
如果我们找到加密压缩包中的任意一个文件，这个文件和压缩包里的文件是一样的
我们把这个文件用同样的压缩软件同样的压缩方式进行无密码的压缩，得到的文件就是我们的Known plaintext（已知明文）。
用这个无密码的压缩包和有密码的压缩包进行比较，分析两个包中相同的那个文件，抽取出两个文件的不同点，就是那3个key了，如此就能得到key。
两个相同文件在压缩包中的字节数应该相差12个byte，就是那3个key了。虽然我们还是无法通过这个key还原出密码，
但是我们已经可以用这个key解开所有的文件，所以已经满足我们的要求了，毕竟对我们而言，得到解压后的文件比得到密码本身更重要。

这里我们直接使用修改完标志位的原始zip文件作为已知明文进行攻击：
如果自己使用压缩工具对1.png进行压缩作为明文的话可能会报“在选定的档案中没有匹配的文件”错误，导致破解失败。
此外，软件爆破的时候爆破很久都没结果，点击停止倒是突然提示爆破成功。。。。。。

n1book{665125b99ebb34fe8c74a36e1bf3d958}

[第九章 CTF之MISC章]听个音乐吧

题目描述：听起来是噪音，实则有秘密哦~
下载flag.wav文件
题目是wav文件，那就Audacity打开
Audacity是一款跨平台的音频编辑软件，用于录音和编辑音讯

n1book{6fe7cc6d7a6b024c91968f021524e2f7}