当前位置：首页 > news >正文

图片 - voasem

news 2025/9/17 14:44:40

常用工具

binwalk
foremost
winhex
010
file
stegsolve
zsteg
F5
Stegdetect
Steghide
outguess
exiftool
stegseek

解题思路

一.未知文件类型

当文件没有后缀名或者有后缀名却无法打开时，我们需要去识别图片类型

1.可以用file命令进行识别

2.通过以下应用查看文件头类型---->然后判断出文件类型

winhex
010
notepad++

常见文件头如表所示

文件类型	文件头
JPEG（jpg）	FFD8FFE1
PNG（png）	89504E47
GIF（gif）	47494638
TIFF（tif）	49492A00
Windows Bitmap（bmp）	424DC001
ZIP Archive（zip）	504B0304
RAR Archive（rar）	52617221
Adobe Photoshop（psd）	38425053

3.文件头缺失/错误

先用file查看，得到结果data，意思是不知道是什么类型

通常文件无法正常打开有两种情况，一种是文件头部残缺，另一种是文件头部字段错误。

针对文件头部残缺的情况，使用 winhex /010手动补全文件头

针对头部字段错误，可以找一个相同类型的文件进行替换。

二.已知文件类型

题型1:文件分离操作

图片隐写：出题人把很多同类型或者不同类型的文件融合成一个文件----->文件分离操作

1.binwalk工具（命令）

查看文件结构，可以用binwalk -e 来分离文件

如果分离成功会在同目录下生成一个形如_文件名_extracted 的文件目录，目录中有分离后的文件。

linux下的命令binwalk查看图片中有没有隐藏信息（是否包含其他文件）

说明0x0--0x596f范围内的文件是jpeg，后面的是zip

现在的任务是要分离JPEG中的zip

2.foremost工具（命令）

binwalk用不了的时候用foremost

命令格式： foremost 文件名 -o 输出目录名

foremost会把文件夹自动分类，分类后还帮你写个日志

** 3.dd（最难用，最复杂）**

当文件自动分离出错或者因为结构复杂无法自动分离时，可以使用 dd 实现文件手动分离。

半自动化工具，可以实现手动分离

如下图所示情况（此时每个文件都不完整），用前两个工具无法完整的把文件分离出来

用法说明：

dd if=源文件 of=目标文件名 bs=n（长度）count=n（几个） skip=开始分离的字节数

eg：

（1）dd if=1.txt of=2.txt bs=5 count =1

从源文件1.txt里截取内容，创建成一个新文件2.txt，截取的长度为5（从头开始），截取一个（块）

就是12345

（2）dd if=1.txt of=3.txt bs=5 count =2

从源文件1.txt里截取内容，创建成一个新文件3.txt，截取的长度为5（从头开始），截取两个（块）

就是1234567890

（3）如果我不想让他从头开始

dd if=1.txt of=4.txt bs=5 count =3 skip=1

从源文件1.txt里截取内容，创建成一个新文件4.txt，截取的长度为5（从跳过的5个字节后再开始），截取三个（块），跳过第一个块（从头开始）

就是从头开始跳过5个字节，然后截取后面的15个字节

结果就是67890abcdefg

应用：

(1)用命令行进行半手动分离

（2）用010手动存到一个文件夹里

能直接看懂文件头，可以直接修改文件后缀

题型2:文件内容隐写

(1)有的题会直接把内容藏在十六进制里,可以用padnote++查看,或者010,打开直接搜索flag/key/xxxctf.

(2)有的可能藏在属性的详细信息里

(3)多帧隐藏,gif的图片直接在某一帧图片存放明显的flag,可能较快闪过

(4)最低有效位LSB隐写

红绿蓝三原色

一字节8bit

最后一位是最低有效位，改成0/1没有任何区别（对这个颜色没有任何影响）

工具:Stegsolve

Stegsolve打开

先打开cmd，然后输入

应用一:改变最低为0/1,查看data extract

应用二:如果题目给了两张一样/相似的图片,可以试试异或(二维码也可以)

用Image combiner进行XOR,ADD,SUB等操作.异或加减运算

题型3:图片修复

1.文件头尾修复(即未知文件类型)

2.宽高修复

3.CRC校验修复

可以用脚本自行破解宽高(ps:只适合常见的12:16)

可能是文件的宽或高发生错误，需要用CRRC来计算出正确的宽高

脚本“2.png”是可改文件名，crc就用原先错误的冗余码就可以

题型4:图片加密

难在1.不知加密方式2.找不到解密工具

以下是一些用过的解密工具：

1.firework

当你用 winhex 打开文件时会看到文件头部中包含 firework 的标识，通过 firework 可以找到隐藏图片。

2.exiftool

3.wbstego4工具（有点麻烦）

支持的文件格式更多

continue--》decode---》展示支持的文件类型（bmp）--》（”画图“工具可以转换图片类型）复制文件地址--》输入密码---》创建新文件---》打开新文件（notepad）（遇到乱码--》用16进制打开）

*支持的文件类型

4.python脚本

JPG解密

１.Slienteye

２．Stegdetect－JPEG

Stegdetect 程序主要用于分析 JPEG 文件，能检测出通过 Steg、JPHide、OutGuess、Invisible Secrets、F5、appendX 和 Camouflage 等隐写工具隐藏的信息。

３.

４.outguess 命令：outguess -k '密码' -r 图片 flag.txt（导出的flag存放地），然后直接cat flag.txt
５.

６.stegseek 命令：stegseek 图片 rockyou.txt

png解密

３.zsteg

可以查看png&bmp图象，能看到其中的LSB结构

会把所有可能隐藏的文本信息都列出来

gif图片

１.convert命令

convert cake.gif cake.png

2.identify查看时间间隔

identify -format "%s %T \n" test.gif

二维码

直接使用CQR.exe打开二维码图片，找到内容字段

tips:如果二维码某个定位角被覆盖了，该工具有时候也可以自动识别，如果识别失败，需要使用PS或画图工具将另外几个角的定位符移动到相应的位置，补全二维码。
除此之外，二维码还有很多不同的类型

常见二维码种类：

汉信码
QRCode
PDF417
Data Matrix
Grid Matrix
Aztec code

QRCode

QRCode 是由日本 Denso-Wave 公司于 1994 年研制的一种矩阵二维码，现已成为世界上最流行的二维码码制之一。QRCode 是英文 Quick Response Code （快速响应）的缩写，超高速识读特点是 QRCode 区别于 PDF417、Data Matrix 等二维码的主要特性。
QRCode 最多可容纳多达7089个数字字符、4296个字母字符或2953 字节的数据。具备四种纠错等级：7%、15%、25% 、30%，即使它被遮挡了一部分，也能被设备正常识别。

Grid Matrix

Grid Matrix Code 是一种由中国研发的二维码，现已成为二维码国家标准并在2007年获得信息产业部科技进步奖。
Grid Matrix 外观整体由一个正方形组成，正方形中包含许多由更小的正方形组成的矩阵。由于矩阵中的方块在深色和浅色之间交替，因此形似一个小棋盘，因此又被称为网格矩阵码。Grid Matrix 专门设计用于对中文字符进行编码，因为可以对整个 GB2312-1980 字符集以及 ASCII 进行编码。

Data Matrix

Data Matrix 原名 Data code，由美国国际资料公司(International Data Matrix) 于 1989 年发明。该二维码最大特点就是密度高，其尺寸是所有同类条码中最小的码，可在仅仅25mm²的面积上编码30个数字。由于小巧的特点，其主要用于小型零件、电子产品和制药行业等。Data Matrix 可以存储最多 3116 个数字、2335 个字母或 1556 字节的数据。

PDF417代码

pdf417-code_800_8

PDF417 码是由美国 Symbol Technologies 公司于 1991 年发明的一种堆叠式二维码（由线性条形码堆叠而成），广泛地应用在交通运输、工商业、金融、海关及政府管理等领域。 PDF 是英文 Portable Data File 单词首字母的缩写，意为“便携数据文件”。PDF417 码可用于存储字母、数字、ASCII，中文等多种字符，理论上可容纳 1850 个字母数字字符，2710 个数字或 1108 个字节。

Han Xin

han-xin_800_91

汉信码是中国开发的一种二维码标准，由中国物品编码中心以及相关单位合作开发完成。如今，汉信码已经成为中国和国际二维码标准之一。汉信码是目前唯一一个全面支持我国汉字信息编码 GB18030 的二维码码制，信息容量也更大，最多可表示 7829 个数字、4350 个 ASCII 字符、2174 个汉字或 3262 字节的信息。汉信码具备四种纠错等级：8%、15%、23% 、30%，不输QR码。抗污损、抗畸变识读能力强，特别适合在恶劣条件下使用。

Aztec Code

aztec-code-_800_70

Aztec Code 中文称阿兹特克码，是由 Andrew Longacre,jr 和 Robert hussey 与 1995 年发明的二维码。该二维码构筑在方形网格上，其中心有一个“牛眼”图案用以定位，由于中心图案与阿兹特克金字塔相似，因此得名 Aztec code。 Aztec code 通常用于机票和其他旅行证件。最多可存储 3823 个数字、3067 个字母或 1914 字节的数据。

除此之外还有些没见到过的二维码种类