CTF杂项课程笔记

课前小提示

随波逐流 打不开？在 Windows 安全中心把「病毒和危险防护 → 实时保护」关闭。

杂项题核心思路：flag 藏在哪里，就到哪里去找。

所有明文 flag 查找 ➜ 010 编辑器 + Ctrl+F 文本搜索「ctf」或「flag」。

图片隐写

01 · 十六进制隐写

原理

出题人把字符串直接粘贴到图片的16 进制数据流中，可能在头部、中部或尾部。图片打开显示正常，但用 010 编辑器能看到藏在数据流里的明文 flag。

解题步骤

010 编辑器打开图片，找数据流。
按 Ctrl+F 打开查找。
右侧选择「文本」，搜索 ctf 或 flag。
直接读取 flag（头部通常是「ctfshow」）。

核心点

左侧是 16 进制字节，右侧才是文本。搜索明文 flag 时要切在「文本」上搜索，不要搜 16 进制。

02 · 文件分解

随波逐流ForemostBinwalk010 编辑器

随波逐流：最常用，直接拖文件，快。
Foremost：Kali 命令行工具，输出到 output 目录。
010 手动分离：工具全都失效时，手工找文件头分离。

一个文件里可能藏着 多个图片。若图像识别不到，文件打不开，就考虑手动分离分析。

03 · 动图(GIF)分解

为什么

动图动图中某一帧会一闪而过，肉眼看不全。把 GIF 逐帧拆开就能露出藏在帧里的 flag。

三种拆帧方式

随波逐流 → 图片 → GIF 分帧查看Pietalk (Image Tools)FX / Java 工具 GIF Viewer

① 随波逐流：「图片 → GF 分针查看」逐帧点击，找到含 flag 那一帧。
② 随波逐流：「GIF 动图分解帧」输出全部图片。
③ 其他工具：触发 "image tools → 拆分 GIF"。

示例：89 帧的 GIF，拼起来就是 flag → hello🏴，直接肉眼就能识别。

04 · 二维码隐写

题目模型

二维码不在大图上，而是以GIF 动图形式放着。每帧是一个二维码的一小部分，全部拼合完成就能扫出完整 flag。

解题流程

分解动图（通常用随波逐流即可）。
获取一帧一张的二维码拼图。
二维码扫描得到内容拼接得到 flag。

这类题可能包含动图分解 + 二维码引写两个考点。

05 · 宽高隐写

特征

图片看起来只有一半，像被刀切了一刀 —— 多半是宽高被改坏了，flag 信息藏在被裁掉的部分。需要把宽高修回原来的值。

010 修改方法

用 010 打开图片，运行「模板」。
PNG 找 IHDR → chunk 0 的 宽度与高度。
JPG 找 SOF 里的 X / Y 值。
将高度调大（如 236→500），保存后重新打开就能看到隐藏 flag。

PNG 修改点：chunk 0 中的 Width × Height；
JPG 修改点：start of frame 里 X(dpi) Y(dpi)。

随波逐流方式

图片工具 → 修改 PNG/JPG 高度，保存后自动显示完整 flag。一次不行就再操作一次即可。

06 · LSB 隐写

核心原理

每个像素 = 红 + 绿 + 蓝
最后一 bit 藏 0/1 → 肉眼无感

一张 PNG 图由无数像素组成，每像素分 RGB 三通道。计算机用 8 位二进制记录颜色，最后一位 0/1 肉眼几乎分辨不出，因此可把文字拆成二进制塞进去。

神速解法

Kali 下用 zsteg 一条命令全自动扫描出隐藏 flag：
zsteg -a 图片.png
不用手动逐通道调试，一条命令扫完所有模式。

安装方式：sudo apt update && sudo apt install zsteg
注意 Kali 的复制粘贴是 Ctrl+Shift+C / Ctrl+Shift+V。

压缩包考点

07 · 伪加密

概念

压缩包看起来加密了、提示要密码，其实文件根本没有真实加密。它只靠一个标志位骗人，把「伪加密标志」清除即可正常解压。

技术要点

ZIP 文件目录区有 加密切换位 Bit 0：1=加密，0=不加密。
真实数据本身没有加密，只把标志位设为 1。
核心操作：找到中央目录头 50 4B 01 02，往后跳 4 字节取下一个字节，把奇数改成偶数（最低位 1→0）。

具体实操

010 打开压缩包，搜索 16 进制的 50 4B 01 02（中央目录头）。
向后跳 4 个字节，取第一个字节。
原值如 09（奇数=加密）→ 改成 08（偶数=不加密）。
保存后用解压工具打开，不再需要密码。

修改时不要按 Delete 删除字节！直接单击选中后输入新值，否则压缩包会损坏。

08 · 压缩包密码爆破

工具

Ziperello (ZIP专用)John the Ripper (全格式)

Ziperello

暴力破解 → 打开文件。
最小口令和最大口令都填「6」或已知位数长度。
字符集勾选：数字 / 大小写 / 特殊符号。
开始爆破 → 几秒后直接显示密码。

示例：密码长度 6 位 → 最小 1、最大 6 都有；爆破范围小、几秒出结果。

John / 全能工具

读取压缩包 → 自动识别加密文件。
暴力破解，最小/最大长度设为 6-8 或 1-10。
优先勾「数字」这一子类，速度飞快。

常用经验：根据题目提示「密码几位数」→ 把长度锁小，爆破速度快十倍以上。

课后工具箱

推荐练习平台

NST · MTCF · CTFshow · 校赛平台
新生赛 8 月 31 日开始报名。

B站视频（蓝莲花战队）推荐：本次涵 1.1～5.4，可从 5.5 继续学。

易错总结

搜索 flag 要在「文本」模式搜，别在 Hex 里搜。
改伪加密别删字节，单击选中再改。
GIF 拆帧后用肉眼看每一帧，再用二维码或拼接。
宽高修改完别忘记「保存」。

一句话核心

图片藏字 → 看十六进制 / 看帧 / 看宽高 / 看 LSB
压缩包有锁 → 伪加密修复 or 暴力爆破

隐写与压缩包