MISC总结——隐写术(一）

一直有这个想法，打算把关于misc类型的题目总结一下，希望能够提醒自己一直学习

也希望能够帮助到那些需要帮助的人

本文参考自：先知社区：https://xz.aliyun.com/t/1833

隐写术介绍：

隐写术是关于信息隐藏，即不让计划的接收者之外的任何人知道信息的传递事件（而不只是信息的内容）的一门技巧与科学。

英文写作Steganography，而这篇内容将带大家了解一下CTF赛场上常见的图片隐写方式，以及解决方法。有必要强调的是，隐写术与密码编码是完全不同的概念。

第一部分：附加式的图片隐写

在附加式的图片隐写术中，我们通常是用某种程序或者某种方法在载体文件中直接附加上需要被隐写的目标，

然后将载体文件直接传输给接受者或者发布到网站上，然后接受者者根据方法提取出被隐写的消息，这一个过程就是我们这里想提到的附加式图片隐写。

而在CTF赛事中，关于这种图片隐写的大概有两种经典方式，一是直接附加字符串，二是图种的形式出现

实验部分：

找到隐写术目录，打开图片隐写，打开图片隐写第一部分文件夹
在该文件夹找到 xscq.jpg，
双击打开图片，我们先确认一下图片内容并没有什么异常
正如前文所说，我们这个实验部分讲的是附加字符串的隐写方式，所以我们用Strings检查一下图片
在Strings工具的搜索下，我们看到了一串base64编码后的字符串
最终解码后，flag：flag{welcome_to_xianzhi}

strings使用方法

strings命令在对象文件或二进制文件中查找可打印的字符串。字符串是4个或更多可打印字符的任意序列，以换行符或空字符结束。 strings命令对识别随机对象文件很有用。

选项：

-a --all：扫描整个文件而不是只扫描目标文件初始化和装载段
-f –print-file-name：在显示字符串前先显示文件名
-t --radix={o,d,x} ：输出字符的位置，基于八进制，十进制或者十六进制
-e --encoding={s,S,b,l,B,L} ：选择字符大小和排列顺序:s = 7-bit, S = 8-bit, {b,l} = 16-bit, {B,L} = 32-bit

Tips 我们使用strings + 文件名字的命令即可
具体步骤如下：

在cmd中打开strings工具，使用如下命令

strings ctf.jpg

得到如下字符串：ZmxhZ3t3ZWxjb21lX3RvX3hpYW56aGl9
我们尝试用base64解码，代码过程如下：

Python 2.7.12 (v2.7.12:d33e0cf91556, Jun 27 2016, 15:24:40) [MSC v.1500 64 bit (AMD64)] on win32
Type "help", "copyright", "credits" or "license" for more information.
>>> import base64
>>> base64.b64decode('ZmxhZ3t3ZWxjb21lX3RvX3hpYW56aGl9')
'flag{welcome_to_xianzhi}'
>>>

这里也可以使用在线解密工具

有必要提到的是，为什么字符串要附加在文件的后面呢?那是因为，如果图片附加在中间，有可能破坏了图片的信息，

如果字符串附加在图片的头部位置，又破坏了文件头，可能导致图片无法识别。关于文件格式的具体内容，我们下一个部分的隐写还会提到。

第二部分：图种形式隐写

图种：
一种采用特殊方式将图片文件（如jpg格式）与rar文件结合起来的文件。该文件一般保存为jpg格式，可以正常显示图片，

当有人获取该图片后，可以修改文件的后缀名，将图片改为rar压缩文件，并得到其中的数据。
图种这是一种以图片文件为载体，通常为jpg格式的图片，然后将zip等压缩包文件附加在图片文件后面。

因为操作系统识别的过程中是，从文件头标志，到文件的结束标志位，当系统识别到图片的结束标志位后，默认是不再继续识别的，所以我们在通常情况下只能看到它是只是一张图片。

实验部分：

 在实验机中找到隐写术目录，打开图片隐写，打开图片隐写第一部分文件夹
 在该文件夹找到cqzb.jpg，
 双击打开图片，我们先确认一下图片内容并没有什么异常
 对图片进行检测，确认是不是图种
 使用winhex打开图片，并分离图片，得到一个压缩包
 打开压缩包得到flag，flag：flag{This is easy}

在linux中是binwalkk命令进行分离
命令如下：