ctf中常见的隐写术

ctf中常见的隐写术

0x01 什么是隐写术

隐写术是关于信息隐藏，即不让计划的接收者之外的任何人知道信息的传递事件（而不只是信息的内容）的一门技巧与科学。具体涉及到图片隐写，音频隐写，视频隐写。其中图片的隐写是最为常见的，也是ctf中常见的一种题型。
0x02 准备的工具

  • Notepad++，功能比 Windows 中的 Notepad(记事本)强大，除了可以用来制作一般的纯文字说明文件，也十分适合编写计算机程序代码。不仅有语法高亮度显示，也有语法折叠功能，并且支持宏以及扩充基本功能的外挂模组。主要是用来方便的查找一些东西。
  • binwalk，kali下的一个自动化分析图片隐藏文件的软件。用来自动分析图片隐藏信息及其所在位置。
  • Stegsolve，一款图片通道查看器。做LSB分析，图片比较什么的。
  • Winhex，16进制查看器。用通过分析2进制数据来看隐藏了什么，同时可以用来分离文件。
  • Photoshop，三大邪教之一。看看有没有隐藏的图层什么的。
  • Exif查看器，可以查看拍摄时的光圈、快门、白平衡、ISO、焦距、日期时间等各种和拍摄条件以及相机品牌、型号、色彩编码、拍摄时录制的声音以及GPS全球定位系统数据、缩略图等。

对于不想装linux系统，真的想在windows下安装binwalk的，也可以，先确保windows中有git环境和python环境，然后在git中输入

1
2
3
git clone https://github.com/devttys0/binwalk
cd binwalk
python setup.py install

Binwalk具体用法在wiki里面，没有git环境的在github项目里直接下载binwalk

github项目：https://github.com/devttys0/binwalk

binwalk的wiki：https://github.com/devttys0/binwalk/wiki
0x03 类型1

用载体进行隐藏，查看一下属性，看看里面有没有什么信息，或者直接用notepad++打开，一般ctrl+f查找一下key，flag等信息，如果没找到，可以翻到图片头或者尾部查看是否有特殊的字符串，比如一段md5、base64、unicode之类的，然后到某些网址进行解密。

通过备注查看：

通过notepad++查看：

在线解密：

0x04 类型2

图片文件会自动忽略结束符之后的数据，比如jpg图片的结束符为FF D9,在这之后加入数据，不会影响jpg的显示，对于类隐写，我们肯定用不能winhex打开16进制数据肉眼去看，这个时候就要用到binwalk了，例子如下，放在linux里，用binwalk xxx.jpg自动跑出来隐藏的信息及其类型。这个时候我们借助winhex设置头和尾然后导出成新文件，或者直接在linux系统中用dd命令，都是可以分割出来后面一段文件的。

使用binwalk分析：

在linux下用dd命令分离（方法一）：

在win下用winhex分离（方法二）：

分离出来的结果：

0x05 类型3

LSB隐写，也就是最低有效位 (Least Significant Bit)。图片中的像数一般是由三种颜色组成，即三原色，由这三种原色可以组成其他各种颜色，例如在PNG图片的储存中，每个颜色会有8bit，LSB隐写就是修改了像数中的最低的1bit。
这里需要注意一个坑，很多时候它会给你一个黑白颜色相反的二维码，直接扫肯定是出不来结果的，需要自己处理一下，最简单的就是放到一个可以编辑的地方ctrl+a一下，然后扫描。


使用Stegsolve发现他在灰色最低位隐藏了一个二维码：

0x06 类型4

Gif，这种题喜欢让密码出现的特别快来不及记录，这个时候丢到Stegsolve-frame browser，一帧一帧的看就行了
逐帧查看：


0x07 总结

关于图片隐写的还有很多，png格式的文件经常会在一个不完整的版块藏很多数据，这个时候可以用pngcheck分析，有时候会跑出来两张看起来相同的png图片，可以丢到Stegsolve-image combiner中对比，bmp文件经常会在不同图层隐藏信息，photoshop就可以处理。例子中用到的图都放在github中了，有兴趣的朋友可以去试试。