BugkuCTF—赛博朋克记录关于ZIP文件文件头协议和LSB隐写

原题

1）打开是一个加密的zip文件，将其拖到txt空白文档发现开头为PK，确实为压缩文件

2）没任何提示情况下我们用010打开，查看是否为伪加密（一般没有任何提示大多数为伪加密，少数情况需要暴力破解）

-----------知识分割线--------------

ZIP文件——文件头协议

一个 ZIP 文件由三个部分组成： 压缩源文件数据区+压缩源文件目录区+压缩源文件目录结束标志

压缩源文件数据区：

50 4B 03 04：这是头文件标记（0x04034b50）
14 00：解压文件所需 pkware 版本
00 00：全局方式位标记（有无加密）
08 00：压缩方式
BC A9：最后修改文件时间
33 52：最后修改文件日期
68 E0 0E 46：CRC-32校验
95 89 06 00：压缩后尺寸（25）
6D 89 06 00：未压缩尺寸（23）
0D 00：文件名长度
00 00：扩展记录长度

压缩源文件目录区：

50 4B 01 02：目录中文件文件头标记(0x02014b50)
1F 00：压缩使用的 pkware 版本
14 00：解压文件所需 pkware 版本
09 00：全局方式位标记（有无加密，无加密为00 00，这里可进行伪加密，改为09 00打开就会提示有密码了）
08 00：压缩方式
BC A9：最后修改文件时间
33 52：最后修改文件日期
68 E0 0E 46：CRC-32校验
95 89 06 00：压缩后尺寸（25）
6D 89 06 00：未压缩尺寸（23）
0D 00：文件名长度
24 00：扩展字段长度
00 00：文件注释长度
00 00：磁盘开始号
00 00：内部文件属性
20 00 00 00：外部文件属性
00 00 00 00：局部头部偏移量

压缩源文件目录结束标志：

50 4B 05 06：目录结束标记
00 00：当前磁盘编号
00 00：目录区开始磁盘编号
01 00：本磁盘上纪录总数
01 00：目录区中纪录总数
5F 00 00 00：目录区尺寸大小
C0 00 00 00：目录区对第一张磁盘的偏移量
89 06：ZIP 文件注释长度

-----------知识分割线--------------

3）我们将压缩源文件目录区可进行伪加密的部分改为无加密的：00 00，保存重新打开发现已经没有加密，解压打开文件cyberpunk.txt发现为乱码
NG，IHDR都是为png格式的文件头，将txt改为png文件，打开

4）无思路中。。。。。图片最最最常考的题——隐写

更改高、宽不行

用Stegsove打开。。。。巴拉巴拉。。。。用LSB最低有效位做出来

-----------知识分割线--------------

LSB(英文 least significant bit)即最低有效位。LSB加密是信息隐藏中最基本的方法。由于人们识别声音或图片的能力有限，因此我们稍微改动信息的某一位是不会影响我们识别声音或图片的。MSB是最高有效位。

通常来说LSB加密用在无损压缩的数据格式文件中，例如图像中的bmp格式和音频的wav格式。由于这两种格式未对源数据进行有损压缩，因此可以将信息隐藏起来。

对于图像文件LSB的特征很明显，通常将信息隐藏在某一个颜色通道中。我们使用stegsolve工具进行查看图片的每个像素点的RGB值。

由于图像是由像素构成的，每个像素有8位(对于BMP图像来说),通常最后一位的变化，通过肉眼是无法察觉的。

-----------知识分割线--------------

5）打开修改

通常最后一位的变化，通过肉眼是无法察觉的。所以我们将red，green，blue全选或选为一或两个0，改变提取方式和位排序尝试得到flag。

有两种选择

得到flag