CTF隐写术知识点总结

CTF隐写术知识点总结

0x01 目录

        图片隐写常用方法: 

                        1.附加式的图片隐写

                            (

                        2.基于文件结构的图片隐写

(1)PNG图片结构

(3)IDAT块隐写

                        3.基于LSB原理的图片隐写

(1)简单的LSB隐写

4.基于DCT域的JPG图片隐写

(1)背景知识

(2)Stegdetect简介

(3)JPHS提取

(4)Outguess提取

5.数字水印的隐写

(1)背景知识

(2)频域盲水印隐写

6.图片容差的隐写

(1)背景知识

(2)容差比较的隐写

7.二维码隐写

(1)QR Research解码

        电子文档隐写:

                        1.Word文件隐写

2.PDF文件隐写

        多媒体文件隐写:

                        1.音频隐写

2.视频隐写

常用文件头尾标识:

1.常用文件头尾标识

                        2.文件头标识及对应类型表

0x02 正文

图片隐写常用方法:

一、附加式的图片隐写:

二、基于文件结构的图片隐写:

1.PNG图片结构

标准的PNG文件结构包括:PNG文件标识和PNG数据块。
PNG图片文件结构:

- (固定)8字节89 50 4E 47 0D 0A 1A 0A为png文件头;

- (固定)4字节00 00 00 0D(即十进制的13)代表数据块的长度为13;

- (固定)4字节49 48 44 52(即为ASCII码的IHDR)是文件头数据块的标识(IDCH);

- (可变)13位数据块(IHDR)

    - 前四个字节代表该图片的宽

    - 后四个字节代表该图片的高

    - 后五个字节依次为:

    Bit depth、ColorType、Compression method、Filter method、Interlace method

- (可变)剩余四字节为该png的CRC检验码,由从IDCH到IHDR的十七位字节进行crc计算得到。

PNG图片文件头数据块(IHDR)包括:宽、高、图像深度、颜色类型、压缩方法等(图中蓝色的部分即IHDR数据块)。

2.修改高度隐写:

先用TweakPNG打开图片,一般修改过长宽的图片都会报错。

找到PNG图片高度值所对应的位置,并修改为一个较大的值,尝试打开。

修改01 00为02 00,并保存后打开。

修改宽高之后的PNG图片可能打不开,需要修复PNG图片的CRC校验值。

方法:

选中PNG的struct IHDR Ihdr部分(图中蓝色部分),使用CRC Calculator重新计算CRC校验值。

将struct IHDR Ihdr的CRC(图中蓝色部分)修改为重新计算过的CRC。

再用TweakPNG打开图片不报错,修复成功。

3.IDAT块的隐写:

PNGCheck可以验证PNG图片的完整性(通过检查内部CRC-32校验和&bra;比特&ket;)和解压缩图像数据,它能够转储几乎所有任选的块级别信息在该

图像中的可读数据。

查询命令:

pngcheck -v xxx.png

三、基于LSB原理的图片隐写

1. 简单的LSB隐写

利用LSB(最低有效位 (Least Significant Bit)来进行隐写。例如在PNG图片的储存中,每个颜色会有8bit,LSB隐写就是修改了像数中的最低的

1bit,人眼无法区别。例如我们想把A隐藏进来的话,可以把A转成16进制的0x61再转成二进制的01100001,再修改为红色通道的最低位为这些二

进制串。

分离方法:

Stegsolve分离:

使用Stegsolve—Analyse—Frame Browser,可以浏览三个颜色通道中的每一位。

PS:

此种隐写的载体一般为png或bmp格式,jpg的有损压缩方式会破坏隐写的内容。

五、数字水印的隐写:

1.背景知识:

数字水印:

数字水印(digital watermark)技术,是指在数字化的数据内容中嵌入不明显的记号。

特征是,被嵌入的记号通常是不可见或不可察的,但是可以通过计算操作检测或者提取。

盲水印与傅里叶变换:

盲水印,是指人感知不到的水印,包括看不到或听不见(没错,数字盲水印也能够用于音频)。其主要应用于音像作品、数字图书等,目的是,在不破

坏原始作品的情况下,实现版权的防护与追踪。

对图像进行傅里叶变换,起始是一个二维离散傅里叶变换,图像的频率是指图像灰度变换的强烈程度,将二维图像由空间域变为频域后,图像上的每

个点的值都变成了复数,也就是所谓的复频域,通过复数的实部和虚部,可以计算出幅值和相位,计算幅值即对复数取模值,将取模值后的矩阵显示

出来,即为其频谱图。但是问题来了,复数取模后,数字有可能变的很大,远大于255,如果数据超过255,则在显示图像的时候会都当做255来处理,

图像就成了全白色。因此,一般会对模值再取对数,在在0~255的范围内进行归一化,这样才能够准确的反映到图像上,发现数据之间的差别,区分

高频和低频分量,这也是进行傅里叶变换的意义。

2. 频域盲水印隐写:

分离方法:

Blind-watermark(python 2.7):

分离水印命令:

python decode.py --original --image --result

添加水印命令:

python encode.py --image --watermark --result

六、图片容差隐写:

1.背景知识:

容差,在选取颜色时所设置的选取范围,容差越大,选取的范围也越大,其数值是在0-255之间。

2.容差比较的隐写:

分离方法:

beyond compare分离:

操作步骤:

打开工具,选择图片比较,导入example_1.jpg和example_2.jpg。

选择容差模式,并调整容差大小

PS:

Beyond Compare4|Beyond Compare破解版激活码:

1、L2aJTd2SauPv4Luhang21uqq5NJOEw94wxdZTpU-pFB9GmyPk677gJ  

2、RuGuo7nimugASTzh99xsaioxTsE2-oigiuomj+JHFjazxsaoh43kmplmjx  

3、hFbqTmYskatMTgPyjvv99CF2Te8ec+Ys6PPxyZAF0YwOGUILOO98iug

七、二维码隐写:

1.QR Research解码

使用QR Research读取二维码中的信息。

电子文档隐写:

一、Word文件隐写:

(1隐藏文本功能隐写:

一是进入Word—文件—选项—显示—勾选“隐藏文字”。

二是使用WinHex查看十六进制数据。

(2)word文档的xml转换:

我们可以将word文档转换成xml格式,当然反过来我们也可以将xml转换成word文档,这导致了我们如果重新打包为word文档的过程中,有可能被

隐藏进其他数据。

一是将后缀名改为.zip\rar\7z等压缩格式,打开即可查看。

二是使用WinHex查看十六进制数据。

二、PDF文件隐写:

分离方法:

wbStego分离:

在工具目录中找到 wbStego4open,使用工具载入文档,

Step 1 是文件介绍

Step 2 中,我们选择Decode,

Step 3 我们选择目标文件

Step 4 输入加密密码,这里我是空密码,直接跳过

Step 5 为保存文件为 flag.txt

多媒体文件隐写:

一、音频隐写:

(1摩斯电码式:

打开音频文件尝试听一下内容,会听到类似电报的发文声。

摩尔斯电码对照表:

解码方式:

用Adobe Auditon打开目标文件,并观察波形。长的代表代表横线,短的代表点,大的间隔是空格。

翻译后的密文为:

-..- .. .- -. --.. .... .. .-.-.- .- .-.. .. -.-- ..- -. .-.-.- -.-. --- --

(2利用MP3stego进行的数据隐写

MP3Stego命令:

加密:encode -E 加密文本 -P 密码  wav文件 mp3文件

解密:decode -X -P  密码  mp3文件

3)频谱图的音频隐写:

频谱是频率谱密度的简称,是频率的分布曲线。复杂振荡分解为振幅不同和频率不同的谐振荡,这些谐振荡的幅值按频率排列的图形叫做频谱。

在CTF中,我们可以单独只对一个声道中,隐写进信息。

分离方法:

使用Adobe Audition分离:

用AU打开音频文件,调整频谱显示,即可显示出flag。

二、视频隐写:

目前在CTF赛事中较为常出现的视频隐写,一般都是将一场带有隐写信息的图片,嵌入视频中,我们所需要做的就是将这个图片从视频分离出来,然

后在分析我们分离出来的文件是什么,之后的操作可能会涉及到密码编码,图片隐写等知识点。

如果单独对视频来说ffmpeg是一个很好的工具,这里我使用的是foremost,当然我们也可以使用binwalk或者dd等工具,正如我们图片隐写中教大

家分离图片所用的方法一样。区别是,ffmpeg将视频分解成一张一张的图片,foremost是一个基于文件头和尾部信息以及文件的内建数据结构恢复文

件的命令行工具。

(1)使用foremost分离:

分离命令:

foremost xxx.mp4

会自动生成output目录存放分离出文件。

(2)使用steghide分离:

分离命令:

steghide extract -sf thing.jpg -p password

常用文件头尾标识:

一、常用文件头尾标识:

(1)常见图片文件头尾标识:

JPEG/JPG:

文件头标识(2 bytes):FF D8

文件结束标识(2 bytes):FF D9

PNG:

文件头标识(8 bytes):89 50 4E 47 0D 0A 1A 0A

GIF:

文件头标识(6 bytes):47 49 46 38 39(37) 61

文件结束标识(2 bytes):01 01 00 3B

BMP:

文件头标识(2 bytes):42 4D

二、文件头标识及对应类型表:

详见:http://www.cnblogs.com/13ck/p/4471146.html

扩展名

文件头标识(HEX)

文件描述

7z

37 7A BC AF 27 1C

7-ZIP compressed file

amr

23 21 41 4D 52

Adaptive Multi-Rate ACELP (Algebraic Code Excited   Linear Prediction) Codec, commonly audio format with GSM cell phones

asf

30 26 B2 75 8E 66 CF 11

Windows Media

asf; wma; wmv

30 26 B2 75 8E 66 CF 11 A6 D9 00 AA 00 62 CE 6C

Microsoft Windows Media Audio/Video File(Advanced   Streaming Format)

avi

41 56 49 20

Audio Video Interleave (AVI)

bmp

42 4D

Windows Bitmap

BMP

42 4D 3E

dat

3

MapInfo Native Data Format

dat

1A 52 54 53 20 43 4F 4D 50 52 45 53 53 45 44 20 49   4D 41 47 45 20 56 31 2E 30 1A

Runtime Software disk image

dat

41 56 47 36 5F 49 6E 74 65 67 72 69 74 79 5F 44 61   74 61 62 61 73 65

AVG6 Integrity database file

DAT

43 52 45 47

Windows 9x registry hive

DAT

43 6C 69 65 6E 74 20 55 72 6C 43 61 63 68 65 20 4D   4D 46 20 56 65 72 20

IE History DAT file

DAT

45 52 46 53 53 41 56 45 44 41 54 41 46 49 4C 45

Kroll EasyRecovery Saved Recovery State file

DAT

49 6E 6E 6F 20 53 65 74 75 70 20 55 6E 69 6E 73 74   61 6C 6C 20 4C 6F 67 20 28 62 29

Inno Setup Uninstall Log file

db

00 06 15 61 00 00 00 02 00 00 04 D2 00 00 10 00

Netscape Navigator (v4) database file

DB

44 42 46 48

Palm Zire photo database

db

8

dBASE IV or dBFast configuration file

doc

0D 44 4F 43

DeskMate Document file

doc

12 34 56 78 90 FF

MS Word 6.0

doc

31 BE 00 00 00 AB 00 00

MS Word for DOS 6.0

doc

7F FE 34 0A

MS Word

dot; ppt; xla; ppa; pps; pot; msi; sdw; db

D0 CF 11 E0

MS Office/OLE2

doc; dot; xls; xlt; xla; ppt; apr ;ppa; pps; pot; msi;   sdw; db

D0 CF 11 E0 A1 B1 1A E1

MS Compound Document v1 or Lotus Approach APR file

emf

01 00 00 00 58 00 00 00

Extended (Enhanced) Windows Metafile Format, printer   spool file

eml

44 65 6C 69 76 65 72 79 2D 64 61 74 65 3A

Email

EML

46 72 6F 6D 20 20 20

A commmon file extension for e-mail files.   Signatures shown here are for Netscape, Eudora, and a generic signature,   respectively. EML is also used by Outlook Express and QuickMail.

EML

46 72 6F 6D 20 3F 3F 3F

A commmon file extension for e-mail files.   Signatures shown here are for Netscape, Eudora, and a generic signature,   respectively. EML is also used by Outlook Express and QuickMail.

EML

46 72 6F 6D 3A 20

A commmon file extension for e-mail files.   Signatures shown here are for Netscape, Eudora, and a generic signature,   respectively. EML is also used by Outlook Express and QuickMail.

EML

52 65 63

exe; dll; drv; vxd; sys; ocx; vbx

4D 5A

Win32 Executable

exe; dll; drv; vxd; sys; ocx; vbx

4D 5A

Win16 Executable

exe; com; 386; ax; acm; sys; dll; drv; flt; fon; ocx;   scr; lrc; vxd; cpl; x32

4D 5A

Executable File

EXE, DLL, OCX, OLB, IMM, IME

4D 5A 90

FLV

46 4C 56 01

Flash video file

GIF

47 49 46 38

gif

47 49 46 38 37 61

Graphics interchange format file (GIF 87A)

gif

47 49 46 38 39 61

Graphics interchange format file (GIF89A)

gz; tar; tgz

1F 8B

Gzip Archive File

gz; tgz

1F 8B 08

GZ Compressed File

htm; html

3C 21 44 4F 43 54

HyperText Markup Language 3

htm; html

3C 48 54 4D 4C 3E

HyperText Markup Language 2

htm; html

3C 68 74 6D 6C 3E

HyperText Markup Language 1

html

68 74 6D 6C 3E

HTML

ico

00 00 01 00 00

Icon File

ico

00 00 01 00 01 00 20 20

Icon File

ISO

43 44 30 30 31

ISO-9660 CD Disc Image (This signature usually   occurs at byte 8001, 8801, or 9001.)

JAR

4A 41 52 43 53 00

JARCS compressed archive

jar

5F 27 A8 89

JAR Archive File

jpg; jpeg

FF D8 FF

jpg; jpe; jpeg

FF D8 FF E0 00

JPG Graphic File

jpg; jpe; jpeg

FF D8 FF FE 00

JPG Graphic File

lnk

4C 00 00 00

Windows Shortcut (Link File)

lnk

4C 00 00 00 01 14 02

Windows Link File

LNK

4C 00 00 00 01 14 02 00

Windows shortcut file

log

2A 2A 2A 20 20 49 6E 73 74 61 6C 6C 61 74 69 6F 6E   20 53 74 61 72 74 65 64 20

Symantec Wise Installer log file

m4a

00 00 00 20 66 74 79 70 4D 34 41 20 00 00 00 00

Apple Lossless Audio Codec file

m4a; m4v

00 00 00 20 66 74 79 70 4D 34 41 20 00 00 00 00

QuickTime M4A/M4V file

mdb

00 01 00 00 53 74 61 6E 64 61 72 64 20 4A 65 74 20   44 42

Microsoft Access file

mdb; mda; mde; mdt

53 74 61 6E 64 61 72 64 20 4A

MS Access

MOV

00 00 0F

MOV

00 00 77

mov

6D 6F 6F 76

Quicktime

mov

6D 64 61 74

QuickTime Movie

MP3

49 44 33

MPEG-1 Audio Layer 3 (MP3) audio file

MP3

FF FB 50

mp4

00 00 00 18 66 74 79 70 33 67 70 35

MPEG-4 video files

mpg; mpeg

00 00 01 B3

MPEG Movie

mpg

00 00 01 BA

MPEG

PDF

25 50 44

pdf; fdf

25 50 44 46

Adobe Portable Document Format and Forms Document   file

pdf

25 50 44 46 2D 31 2E

Adobe Acrobat

PNG

89 50 4E

PNG

89 50 4E 47

png

89 50 4E 47 0D 0A

PNG Image File

png

89 50 4E 47 0D 0A 1A 0A

PNG Image File

PPT

D0 CF 11

ppt

[512 byte offset] 00 6E 1E F0

PowerPoint presentation subheader (MS Office)

ppt

[512 byte offset] 0F 00 E8 03

PowerPoint presentation subheader (MS Office)

PSD

38 42 50

psd

38 42 50 53

Adobe Photoshop image file

RAR

52 61 72

rar

52 61 72 21

RAR Archive File

reg

52 45 47 45 44 49 54 34

rgb

01 DA 01 01 00 03

Silicon Graphics RGB Bitmap

RM

2E 52 4D

rm; rmvb

2E 52 4D 46

Real Media streaming media file

SWF

43 57 53

Shockwave Flash file (v5+)

SWF

46 57 53

Macromedia Shockwave Flash player file

tar; cpio

30 37 30 37 30 37

CPIO Archive File

tar.z

1F 9D 90

Compressed tape archive file

TIF; TIFF

49 20 49

Tagged Image File Format file

tif; tiff

49 49 2A

TIFF (Intel)

tif; tiff

49 49 2A 00

Tagged Image File Format file (little endian, i.e.,   LSB first in the byte; Intel)

TIF; TIFF

4D 4D 00 2A

Tagged Image File Format file (big endian, i.e., LSB   last in the byte; Motorola)

tif; tiff

4D 4D 2A

TIFF (Motorola)

TIF; TIFF

4D 4D 00 2B

BigTIFF files; Tagged Image File Format files >4   GB

VCD

45 4E 54 52 59 56 43 44 02 00 00 01 02 00 18 58

VideoVCD (GNU VCDImager) file

vob

00 00 01 BA

DVD Video Movie File (video/dvd, video/mpeg)

WAV

52 49 46

wav

57 41 56 45

Wave

wav

57 41 56 45 66 6D 74

Wave Files

WMA

30 26 B2

WMV

30 26 B2

xls

09 02 06 00 00 00 10 00 B9 04 5C 00

MS Excel v2

xls

09 04 06 00 00 00 10 00 F6 05 5C 00

MS Excel v4

XLS

D0 CF 11

xls

D0 CF 11 E0

MS Excel

xls

[512 byte offset]  09 08 10 00 00 06 05 00

Excel spreadsheet subheader (MS Office)

XML

3C 3F 78

xml

3C 3F 78 6D 6C

XML Document

xml

FF FE 3C 00 52 00 4F 00 4F 00 54 00 53 00 54 00 55 00   42 00

XML Document (ROOTSTUB)

ZIP

50 4B 03

zip; jar; zipx

50 4B 03 04

ZIP Archive

zip

50 4B 30 30

ZIP Archive (outdated)

Zip

50 4B 30 30 50 4B 03 04

WINZIP Compressed

你可能感兴趣的:(网络安全)