打CTF时间长了就会发现misc题里最“万金油”的题型就是隐写术。从校赛到全国赛misc分类里几乎必有隐写题载体从图片、音频到压缩包只有你想不到没有出题人藏不了的。我打过的几百道题里隐写占比接近一半而且这类题有个鲜明特点只要你知道对应知识点十分钟内就能解出来不知道的话卡上两三个小时也是常态。这篇总结的核心思路就是把隐写术的常见考点、判断逻辑和工具链一次性梳理清楚帮你建立一套“拿到题就知道往哪个方向试”的解题框架。这篇内容适合两类人刚接触CTF的新手可以把它当成隐写方向的第一份系统笔记把常见套路和对应工具记熟已经打了一阵子的朋友重点看中间的排查思路和翻车实录很多细节容易忽略。当然实操还是得自己去buu、ctfshow这类平台刷题光看不练等于白看。1. 隐写术的解题框架先知道自己要找什么1.1 隐写术的本质与常见载体隐写术Steganography说白了就是把信息藏在一个看似正常的载体里让第三方从外观上察觉不到异常。它和密码学的区别很关键密码学是“你看得见但看不懂”隐写是“你压根看不见”。CTF里最常见的载体有四类图片、音频、压缩包、流量包。图片占比最高音频次之压缩包多是隐写与密码学的交叉题流量包则偏向协议分析。搞清楚载体类型就能先排除掉一半的错误方向。出题人通常不会把flag明文直接放在某个角落而是喜欢层层嵌套。比如图片里藏一个zipzip里放一段加密文本密码又藏在另一张图的Exif信息里。解题本质上是拆套娃每解出一个中间产物都要先确认它是不是终点再决定下一步往哪走。1.2 信息收集的黄金顺序我在实战中养成了一个固定流程拿到附件先做一轮低成本的信息收集把容易拿的分拿完再上重武器。顺序如下file命令看真实文件类型——有些题故意把文件名改成.jpg实际是个zip或gzip改对后缀直接解压。strings加grep过滤关键字——先扫有没有明文flag或提示命令是strings 文件名 | grep -i flag没有grep就直接肉眼翻输出。binwalk扫描隐藏文件——检查是否存在拼接文件binwalk -e能直接自动提取。exiftool查看元数据——Exif里的作者、注释、经纬度字段经常是藏东西的好地方。通道与LSB分析——图片能正常打开的话用Stegsolve看色道用zsteg扫最低位面。十六进制编辑器兜底——用010 Editor或WinHex把文件完整翻一遍头部、尾部、中间异常块都不能漏。这套流程跑完中低难度的题基本已经出结果。还没结果再进入针对性的深度分析。我自己的经验是很多题其实不高深就是看你顺序对不对、有没有想到去查那一层。2. 图片类隐写实操LSB、Exif与图片结构异常2.1 LSB隐写最经典的图片隐写LSB全称Least Significant Bit最低有效位。原理说来简单真彩色图片里每个像素的RGB通道各占8bit修改最低那一个bit颜色变化肉眼完全看不出来。纯白色是255改成254人眼根本分辨不出。出题人把要隐藏的数据按bit拆分依次填进每个通道的最低位8个像素就能藏一个字节几百乘几百的图藏一段几百字符的flag绰绰有余。怎么判断一道题是不是LSB隐写有几个信号值得注意载体是PNG或BMP这类无损格式JPEG基本不可能做LSB因为压缩过程会破坏最低位用Stegsolve逐个查看Red plane 0、Green plane 0、Blue plane 0最低位平面上能看到规律性的图案或文字痕迹图片大小比同尺寸同内容的正常图明显偏大也算一种可疑信号。提取实战中我用得最多的是zsteg一条命令搞定大部分情况zsteg -a flag.png-a参数会遍历所有通道和所有bit层输出里经常有意外发现。如果zsteg没出结果再用Stegsolve手动看每一层。还有一种情况是数据不是按正常行序排列的横着读不对、竖着读就有规律这时需要自己写脚本按特定顺序提取。比如下面这段Python把R通道最低位按行优先读出来转成字符串from PIL import Image img Image.open(flag.png) bits for pixel in img.getdata(): bits str(pixel[0] 1) chars [chr(int(bits[i:i8], 2)) for i in range(0, len(bits), 8)] print(.join(chars))注意直接等宽转ASCII经常出来一堆乱码因为数据往往不从第一个像素开始。遇到这种情况不要慌用strings过滤或者搜flag{这样的特征字符串定位。2.2 Exif与文件尾部信息Exif是照片的元数据拍摄设备、时间、GPS坐标、作者备注都存在这里。CTF出题人特别喜欢往Exif的Comment、Artist、Author字段塞flag或提示。用exiftool一行就能看exiftool flag.jpg还有一种常见手法是直接在文件尾部追加数据。用tail -c 1000 flag.jpg看末尾或者打开十六进制编辑器直接拖到文件尾部经常能看到一段明显的base64、一串ASCII甚至另一个文件的开头。JPEG和PNG解析时基本无视尾部多余数据所以这种藏法非常安全不会让图片显示异常。需要留意的是如果尾部追加的是另一个文件头比如zip的50 4B 03 04就不要手动抠了交给binwalk分离更稳妥后面会细说。2.3 图片宽高篡改与CRC校验修复这是高频考点很多人第一次遇到会懵。现象是图片用系统自带看图工具打不开提示文件损坏但用十六进制编辑器看文件头尾都正常binwalk也扫不出附加数据。这时候大概率是图片的宽高被改小了导致图像数据解析不完整。PNG文件里有IHDR块偏移16处是宽度4字节偏移20处是高度4字节。出题人把高度字段改小图片实际像素数据还在但解码器按错误高度解析要么报错要么只显示上半截。修复思路有两种。第一种如果图片还能显示一部分直接用十六进制编辑器把高度字段改大配合看图工具反复刷新慢慢逼近真实高度。第二种用CRC校验值反推。IHDR块后面跟着4字节CRC校验范围包含宽高。只要CRC没被改就能暴力枚举宽高找到与现有CRC匹配的一组值。参考脚本import struct import zlib data open(flag.png, rb).read() crc struct.unpack(I, data[29:33])[0] for w in range(1, 5000): for h in range(1, 5000): ihdr data[12:16] struct.pack(II, w, h) data[24:29] if (zlib.crc32(ihdr) 0xffffffff) crc: print(fwidth{w}, height{h}) exit()跑出结果后把宽高写回文件图片恢复正常多出来的那截像素区域往往就是藏flag的地方。我还遇到过改宽高的同时把CRC也重算过的题那就只能靠肉眼和经验慢慢调了。2.4 二维码修复与双图对比盲水印二维码修复也是热门考点。出题人经常把二维码截图做得七零八落缺定位角、中间抠掉一块、或者盖上随机噪点。修复思路是补全三个定位角、用画图工具补黑白块或者写Python把二维码数据矩阵抠出来重绘。我自己更推荐直接找在线解析器试比如草料二维码多数轻微破损都能扫出来破损严重的话先补定位角再试。再看双图对比。出题人有时候给两张看起来几乎一模一样的图片肉眼找不到区别。这时候用Stegsolve的Image Combiner功能对两张图做XOR或差异比较隐藏信息就会以明显的像素差浮现。还有一种更冷门的盲水印玩法两张图用盲水印工具处理后能叠出第三张图。判断信号是题目给了两张或多张高度相似的大图这时候不要只看单张先做差值。3. 文件层面的隐藏技巧分离、合并与伪加密3.1 binwalk与文件分离binwalk是文件隐写最核心的工具它能识别文件里嵌入的其他文件。常用命令binwalk flag.jpg # 扫描识别 binwalk -e flag.jpg # 自动提取如果-e提取失败或者提示识别到了但分离不干净用foremost按文件签名强行摘取foremost -i flag.jpg -o output_dirbinwalk的识别基础是文件签名也叫magic number。zip是50 4Bgzip是1F 8Bpng是89 50 4E 47。出题人最常用的操作是copy /b 1.png 2.zip out.png把zip拼到png后面binwalk一扫就现形。我补充一个实用习惯用binwalk扫描后留意输出里的偏移量再去十六进制编辑器里定位那个位置看一眼。binwalk负责“发现”但有时候需要你手动把数据抠出来处理尤其是多层嵌套时自动提取可能漏掉关键文件。3.2 Zip伪加密的识别与修复Zip伪加密是我见过最让新人卡死的知识点。场景是这样拿到一个zip压缩软件能显示文件列表但一点解压就提示输入密码试遍常见弱密码都不行。这时候要先怀疑“伪加密”——文件根本没加密只是加密标志位被篡改了。Zip文件头分两种都得检查加密标志general purpose bit flag的第0位本地文件头Local File Header签名50 4B 03 04加密标志位于偏移6处中央目录头Central Directory Header签名50 4B 01 02加密标志位于偏移8处。正常真加密时两个头的标志位bit0都为1十六进制显示为01 00。伪加密的典型特征是本地文件头是00 00中央目录头却是01 00说明本地头声称未加密、目录头声称加密两边对不上。直接把中央目录头的01 00改成00 00保存重新解压就能通过。注意修改前一定要先复制一份备份。只改两个字节听起来简单但手抖改错位置会把zip彻底损坏。我在比赛现场手滑过一次从此养成先备份再操作的固定习惯。如果确认是真加密再考虑ARCHPR爆破或字典攻击那属于密码学范畴以后有机会单独写。3.3 文件附加数据与常见误判分离出来的文件未必干净前面可能带垃圾前缀尾部可能有零填充。比如foremost分离出的zip前面经常多出几百字节数据直接解压报“文件损坏”。处理方法是用十六进制编辑器定位到真正的zip签名50 4B 03 04删除前面所有内容再保存。另一个常见误判是把伪加密当真加密去爆破白白浪费一两个小时。所以现在遇到加密zip我第一件事永远是打开十六进制编辑器对比两个头的标志位几秒钟出结论确认伪加密就直接改字节整个流程控制在五分钟内。4. 音频隐写频谱、倒放与摩斯电码4.1 频谱分析的实战操作音频隐写在CTF里出现频率很高其中最高频的是频谱图隐写。原理不难把文字或图像信息以特定频率成分混入音频人耳听着只是细微杂音但软件做FFT变换后频谱图上就能浮现清晰的文字图案。我用Audacity处理免费、跨平台、功能够用。操作步骤用Audacity打开音频文件选中整个轨道菜单栏切换到频谱图视图View Spectrogram没有明显图案时调节频谱图设置里的Frequency Scale与Window参数。默认频率范围经常不够尝试拉到16000Hz或更高分辨率调大图案会更锐利。真实案例里flag一般直接以彩色文字图案出现在频谱图上扫一眼就能看到。4.2 摩斯电码和减速播放音频里另外两种常见玩法是摩斯电码和变速隐藏。摩斯电码的音频特征是短音和长音交替听感是“滴”“答”组合。处理方式有两种一种用Audacity看波形短音和长音表现为不同长度的振幅段按比例划分后手动对照摩斯表翻译另一种先录下音频再用在线摩斯解码工具识别。我个人强烈推荐看波形而不是靠听力。比赛现场环境嘈杂靠耳朵判断长短音误判率极高。在Audacity里放大波形短促包络就是点.长包络就是划-字母之间拉长停顿区分。常用的摩斯表建议提前背熟A是.-B是-...数字也有固定写法考场上现查表非常浪费时间。变速隐藏更直接把一段正常录音放慢几倍里面会出现原本听不清的语音把一段语音倒放反过来就是正常语句。Audacity的Change Speed和Reverse两个功能分别对应这两种场景。4.3 SSTV与DTMF信号进阶一点的玩法是SSTV慢扫描电视把一张flag图片编码成一段声音听感像老式传真握手音。解码方式是用RX-SSTV这类软件或手机App播放音频的同时打开解码器图片会逐步还原。判断依据很明确音频听起来像拨号音或传真音频谱图上出现有规律的水平条纹。一旦确认SSTV解法基本固定难度不大但知道这个知识点是前提。另一个冷门点是DTMF双音多频拨号音把数字映射到两个频率的组合偶尔被用来藏一串号码。用Audacity看频谱找出发声点对应的频率对对照DTMF表转出数字。这种题很死板考的就是细心和查表速度。5. 常见卡壳场景与排查思路5.1 工具选型与环境搭建隐写解题依赖的工具不多但每样都别缺。这是我的固定工具箱工具用途适用环境binwalk / foremost文件扫描与分离LinuxKali自带zstegPNG/BMP的LSB扫描LinuxKali自带Stegsolve图片通道、色板、双图对比跨平台JavaexiftoolExif元数据查看跨平台010 Editor / WinHex十六进制查看与篡改WindowsAudacity音频分析与频谱读取跨平台CyberChef编码自动检测与转换在线随波逐流CTF工具编码解码综合工具Windowszsteg的安装值得一提。它是Ruby写的gem install zsteg就能装但Windows上Ruby环境折腾起来麻烦建议直接用Kali Linux或者WSL一条命令搞定。Stegsolve是老Java工具注意JRE版本匹配环境变量配好就能双击运行。我自己是Windows本机装010 Editor和随波逐流虚拟机里跑Kali两边配合效率最高。5.2 高频翻车现场与解决实录下面这些坑我基本都真实踩过每一条都耽误过不少时间。翻车1binwalk扫不出东西就以为没藏。有次题目是个PNGbinwalk干干净净strings也没有任何线索差点当成干扰题放弃。后来随手跑了zstegLSB里藏着完整flag。从此养成多工具交叉验证的习惯binwalk、zsteg、Stegsolve三个轮着来。翻车2拿到伪加密zip直接爆破。早期不懂伪加密一个zip爆破将近一小时毫无结果。后来用016字节一对比中央目录标志位是01本地是00改掉立马解压。所以遇到加密zip先看标志位再决定是否爆破。翻车3音频频谱只开默认范围。第一次做音频频谱题开默认频谱范围啥也看不到差点当成噪音跳过。后来题目提示关注高频把范围拉到16000Hzflag就浮出来了。音频题拿到手频谱参数一定要多换几组再下结论。翻车4分离出来的zip能打开但解压报错。foremost分离出的zip经常带垃圾前缀直接解压报CRC错误或文件损坏。用十六进制编辑器定位到50 4B 03 04删掉前面多余字节再保存问题立刻解决。翻车5图片正常打开但总感觉不对劲。图片肉眼完全正常但文件尺寸异常大或者Chunk信息与正常图不一致。这种题往往是隐写内容藏进了附加的数据块。用pngcheck -v看PNG块结构或者对比相似图片的文件大小差异就能发现猫腻。翻车6解出base64再解还是乱码。隐写数据经常需要二次甚至三次解码base64后面还可能套着URL编码、十六进制串或压缩包。遇到这种情况先把中间数据丢进CyberChef的Magic功能自动检测省去手动猜编码的时间。我自己在刷题时还有个习惯每遇到一种新套路就记一笔“载体、现象、工具、关键步骤”四要素。隐写的题千变万化但藏来藏去就那么些手法把套路积累到位解题就是走流程的活。这套方法陪我打通了buu的misc部分也在ctfshow的隐写专项里验证过照着这个思路练你的隐写手感会提升得很快。