CTF之隐写（详细指导）

CTF之隐写

0x01 PNG图片

PNG文件结构分析

https://my.oschina.net/ososchina/blog/801358

(1)用16进制编辑工具更改图片的高度，会只显示图片的一部分，下面的部分就被隐藏了，是个藏东西的好办法

找表示宽度和高度的位置的话，可以先看看图片的属性，得到宽高值，转成16进制，搜索16进制值就找到了

注：png图片的保存恢复效果比较好，jpg貌似有点问题

题目链接：http://pan.baidu.com/s/1qY8sxZI 密码：5xam

图片尺寸为500x420(宽x高)

00 00 00 0D 说明IHDR头块长为13

49 48 44 52 IHDR标识

00 00 01 F4 图像的宽，500像素

00 00 01 A4 图像的高，420像素

最后四位CB　D6  DF  8 A为CRC校验

将图片的高改为500像素就拿到flag了

（2）初次遇见条形码。。。。

各种工具找，最后看了writeup才知道这马身上有条形码。。。。。

还是用画图工具拼接出来的完整条形码去扫描的，不会ps愁死人。。。。。

在线扫描https://online-barcode-reader.inliteresearch.com/

(3)烦人de皮卡丘

题目链接：http://pan.baidu.com/s/1i5IG3JZ 密码：lymw

不管是用binwalk还是stegsolve左右点都没有结果，在大佬这找到了答案http://blog.csdn.net/fuzz_nancheng/article/details/53384353?locationNum=4&fps=1

原理我也不懂啊。。。。。又找到相关文章http://www.tuicool.com/articles/qINzyum，有待理解。。。。

(3)双图

题目链接：http://pan.baidu.com/s/1pLiCMdd 密码：590r

拿过来图片先用binwalk分析一波，发现有两张图片，用winhex抠出来之后发现和第一张一样，第一张命名1.png，第二张2.png，用linux的compare命令比较一下，

compare 1.png 2.png diff.png,发现diff.png下面有红线，

用stegslove打开2.png选择image combiner

选择1.png这时候会做一个xor运算，保存图片为solved.bmp

winhex打开solved.bmp
，发现除了00就只有这里有东西了

记下地址之后把2.png用ps打开另存为2.bmp，再用winhex打开2.bmp找到刚刚记下的地址把16进制数据复制出来，写个脚本把其中的二进制数扣出来，00为0,01为1然后再把二进制转换成ascii码得到flag

（4）再遇双图

题目链接：http://pan.baidu.com/s/1qYtzZIG 密码：31bg

这次很直接，解压出来就是双图，用stegslove的image combiner

保存反色，再用stegslove对二维码变化一下，得到三张二维码，扫描结果是DES  6XaMMbM7
  和一长串字符，des加密，秘钥是6XaMMbM7，解密吧得到flag

（5）py的交易

题目链接：http://pan.baidu.com/s/1c2KmV1A 密码：2m3f

binwalk跑了一下除了很多的zlib什么也没发现，winhex打开看到了几个连续的pypypy。。。。。在一串常规的字符中看到了fireworks。。。

发现图层1被隐藏了，打开后发现了二维码

扫描得到一串16进制

03f30d0a3b8bed56630000000000。。。。。用winhex保存一下看到了CTF字样，

还有pyt。。file一下发现python 2.7 byte-compiled，应该是pyc了，用uncompyle解一下发现flag里有个变量key，那key就是py了。强行符合题目要求。。。

（6）盲水印攻击

这里是利用脚本及说明  https://github.com/chishaxie/BlindWaterMark

当用compare两张png之后发现不再是上面双图情况下的一条红线，而是很多条，就可以考虑一下是不是盲水印攻击了

（7）IDAT数据块隐藏

前面说过png的IHDR属性，在png中，大致分为四个大的数据块，IHDR数据块，PLTE数据块（调色板），IDAT数据块，IEND数据块（结尾标志），IDAT数据块在一个png图像中是可以存在多个的，但是好像正常情况下binwalk检测和插入了IDAT数据块后检测的结果是不一样的，，可以这样来辨IDAT是否有问题

比如这是正常的png图片，分析的结果是

这个图片也是有多个IDAT的块的，而在添加了一个IDAT块之后检测结果是这样

并且FFDA位置是第二个IDAT的起始位置。当把第一个IDAT块扣掉之后原图就会显露出来，

IDAT包含了四部分，第一部分是数据块长度（4位16进制），第二部分是IDAT标识符（4位16进制），第三部分是数据块，第四部分是CRC校验码（4位16进制）

00 00 FF A5（数据块长度为FFA5）

49 44 41 54 （IDAT标识符）

接下来是数据块，在FFA5长度的数据块之后是4位16进制的CRC校验码

并且合并过的IDAT的png图片用fireworks打开会提示格式错误，查看不了，ps就没有这个功能。。。。

0x02jpg图片

（１）图种

题目链接：http://pan.baidu.com/s/1c2L8euk 密码：4h6k

binwalk跑一下发现是两张图片

第二张图片的偏移量是158792，用winhex将第二张图片提取出来保存为jpg格式就是flag了

或者用foremost提取　foremost -v -i 2.jpg -o /root/aa     aa为空目录

(2)画图

题目链接：http://pan.baidu.com/s/1o7ZkGC6 密码：rmro

这里没有flag,用winhex打开发现图片后面有很多的数据

复制下来保存为txt文件用notepad++转换一下编码

这就是坐标了,这样来画图吧 转换成gnuplot能识别的格式

扫码得到flag

(3)妹子的默默

题目链接：http://pan.baidu.com/s/1c1YjjDA 密码：id5a

binwalk跑一下发现rar文件，但是加密了。。。。找了很久密码，看了大佬的writeup才知道密码是图片上的“喜欢我吗.”注意：密码是汉字不是拼音，解压出来是这个

第一个莫斯电码解码，得到一个网址,根据下面 的提示是AES加密，解密得到momoj2j.png访问http://c.bugku.com/momoj2j.png得到二维码

(4)F5隐写

链接：http://pan.baidu.com/s/1cnMYzs 密码：v0er

cd F5-steganography

java Extract 123456.jpg -p 123456

后会生成output.txt文件，里面就有flag了

0x03bmp格式图片隐写

题目链接：http://pan.baidu.com/s/1jIp82NG 密码：ikov

下载下来之后发现后缀是png，然而winhex打开发现并不是png头文件

file一下是bmp文件，用wbs43open来解密吧http://pan.baidu.com/s/1slc2YHR，

密码值为空

解出来用notepad打开就看到flag了

0x04流量分析

题目链接：http://pan.baidu.com/s/1mi3aWwK 密码：4fd9

（１）下载了一个pcapng的文件，用wireshark打开，过滤条件是http协议，发现了一句话的痕迹

在开始的时候发现

有flag.tar.gz

接下来的http里应该就有这个数据了，在最后一个包里发现

解一下压缩吧

其他

(1)遇到了一个exe文件，用notepad++打开发现是一串ｂａｓｅ６４，直接把代码复制到在线base64转图片得到flag

题目链接：http://pan.baidu.com/s/1kUCWiNX 密码：xlui

在线转换　　http://imgbase64.duoshitong.com/

(2)遇到一个宽带信息泄露的bin文件用routerpassview查看搜索username找到用户名就是ｆｌａｇ

题目链接：http://pan.baidu.com/s/1pLbQzTT 密码：g1i9

(3)linux基本问题

题目链接：http://pan.baidu.com/s/1dFIivh3 密码：olcx

用notepad++打开发现flag.txt,用binwalk提取得到flag.txt

（4）onlyonefile

题目链接：http://pan.baidu.com/s/1geO9DHT 密码：nia7

下载之后先用binwalk跑了一下发现很多zip包，果断分解，发现文件夹里都是布置格式的文件但名字是有规律的，并且还有一个0.zip解压出来也没发现什么，用winhex打开第一个文件看到了PNG，猜想是png图片，但是结尾没有IEND，不完整，打开最后一个文件发现了IEND，题目又叫onefile，应该是图片分解了，于是linnux下cat outfile/* >1.png合成了png图片，但是依旧没有flag，binwalk发现图片后面好多zlib文件，找了很久，再用winhex查看发现了头文件不远处的Adobe Fireworks CS5，下载下来看起来和ps差不多。。。。。。打开图片后原来是两个图层，把第一张图片拉开再翻转一下二维码颜色得到flag了。

（5）再遇Adobe Fireworks CS5

题目链接：http://pan.baidu.com/s/1c3vzum 密码：n26x   题目名为IHDR

这次比较干脆，直接给了一个png文件，winhex打开一切正常，binwalk跑一下还是满大街的zlib包，也发现了Adobe Fireworks CS5字样，于是用Adobe Fireworks CS5打开，发现格式错误。。。。。回去看了看png文件格式，没毛病，那就只有crc没有检测是否正确了，给个crc抄袭的计算代码。链接：http://pan.baidu.com/s/1dFcQTu5 密码：ytxd  里面的数据替换为相应的HIDR Chunk，就得到正确的crc了，再次用Adobe Fireworks CS5打开flag就直接出来了

(6)这个应该属于杂项

题目链接：http://pan.baidu.com/s/1jIwZIFc 密码：bk62

file一下发现是data文件（跟没发现一样），扔到winhex里发现是这样

FF D8不就是jpg头文件,FF D9不就是jpg尾文件标志吗，原来是把16进制逆过来了 ，写个脚本再还原回来就好了 

f=open("1.reverseme","rb")

g=open("1.jpg","wb")

f.write(g.read()[::-1])

f.close()

g.close()

用ps旋转一下就好了

（7）加密的文档

题目链接：http://pan.baidu.com/s/1misRWU0 密码：b19t

下载得到一个zip压缩包，确实加密了。。。。可是题目没有给密码提示啊，伪加密？试试看，眼瞎的我没有看到在底部50 4B ，这个地方改成了09 00

还是找到writeup才回来找，不过看到了大神用010Editor，又get到一个新工具，并且看到未加密是这里是0，加密这里标志位就不是0了

别忘了第二行还有标志位。。。。

好了，改成0，成功解压出一个docx文档，

刚开始还以为是把flag字体和背景颜色设置一样了，结果没有。。。把图片拷出来也没找到。。。。又回来看大神的writeup，解压之后的docx文档还是藏着压缩包。。。。改成zip格式解压出来找到两张图片

吐了一升血。。。。。