拿到一个WAV音频文件先别急着戴上耳机去听。CTF杂项题里的音频尤其是带“噪音”标签的那种你戴着耳机循环半小时听到的依然只是滋滋啦啦的白噪音但恼人的是Flag就藏在这段噪音里。我见过不少新手卡在这一步——听不出来就不知道下一步往哪儿走。这篇内容就围绕这个场景展开用Python脚本对WAV文件做体检、看频谱、拆采样点一步步把藏在“噪音”里的Flag提取出来。说白了这就是一套针对WAV隐写题的完整解题思路和实操脚本。这篇文章适合准备打CTF入门赛的新人尤其是杂项Misc方向遇到音频题不知道从何下手的对做数字取证、玩信号处理的同学来说也算是一份能直接套用的周边参考。你不用把信号与系统学完能装Python库、会看频谱图就够了。下面我按自己平时解题的习惯把整条流程拆开讲你拿到题目直接对照着做。1. 项目概述为什么WAV成了“藏Flag的重灾区”1.1 WAV文件结构其实很朴素WAVWaveform Audio File Format是微软和IBM联合定义的无损音频封装格式底层存的是裸的PCM采样数据。它不像MP3有感知编码压缩也不像AAC有复杂的频域编码整体结构就是“RIFF头 fmt子块 data子块”三个部分。RIFF头声明文件类型fmt子块里写采样率、位深、声道数data子块里就是实实在在的采样点字节流。学习的时候把WAV当成一个可以逐字节读取的容器就好很多隐写操作就是直接改这些裸数据。因为无损WAV里的任何改动都有可能被原样保留下来这给隐写提供了绝佳土壤。最常见的两种隐藏思路一个藏在频域一个藏在时域频域隐藏利用人耳对高频信号不敏感的特点把一个文字、图案或字符串直接画在频谱图上人耳听到的只是“嘶嘶”的高频噪音。时域隐藏修改每个采样点的最低有效位LSB一次只改一两个bit听感差异微乎其微。大多数“噪音题”的本质就是频域隐藏你用频谱图一看文字直接显形而LSB隐藏则必须靠脚本提取这正是Python的强项。1.2 为什么“听”是最没效率的第一步纯靠耳朵听音频题是新手最常走的弯路。因为出题人压根没想让你听出语义信息他要藏的东西要么在人耳听觉阈值之外的高频段要么在低bit位的微观差异里还有一种是直接在波形间距上编码成摩斯电码。听感上有时候只有“有点刺耳”“好像有电流声”这种模模糊糊的差异根本构不成有效信息。我的习惯是“可视化优先脚本兜底”。不管题目描述得多玄乎先对文件做一次客观体检用file和binwalk看文件类型和尾部结构用十六进制编辑器看RIFF头用Python读采样率位深声道数用Audacity或matplotlib看波形和频谱图。这套组合拳打完大部分隐藏方式就能定位了。1.3 准备工作环境与工具清单工欲善其事必先利其器。不用装太多东西下面这套是够用的工具用途安装方式Python 3.8运行提取脚本官网下载或系统包管理器numpy处理采样数组pip install numpyscipy频谱分析中的STFT计算pip install scipymatplotlib绘制频谱图pip install matplotlibAudacity快速可视化波形和频谱官网安装包binwalk / file文件体检、尾部扫描系统包管理器或pip install binwalkPython建议直接装最新稳定版装的时候勾选“Add Python to PATH”不然后面跑pip命令会遇到“不是内部或外部命令”之类的报错。库的安装也很简单一条pip install numpy scipy matplotlib就全带上了。2. 从“噪音”里找线索四种常见WAV隐写原理2.1 频谱图隐藏把“画”写进频率轴频谱图Spectrogram是由短时傅里叶变换STFT计算出来的横轴是时间纵轴是频率颜色深浅代表该时刻该频率上的能量强度。出题人会通过音频编辑软件或脚本把Flag文字直接叠加在某段频率范围上比如3kHz到6kHz之间画出一行白字再把这段信号混进原始音频里。人耳听起来这段叠加信号就是“高频嘶嘶声”完全分辨不出内容。但一旦用频谱图查看文字和图案会非常直观地显形。这种题不用写复杂算法视觉确认后把图案里的字符读出来就行。难点在于有些题目会把文字做得很淡需要调整频谱图的动态范围和频率轴缩放否则白茫茫一片看不清。2.2 LSB隐写采样点里塞比特LSB全称Least Significant Bit最低有效位。以16bit采样值为例每个采样点是一个从-32768到32767的整数二进制表示下最低位改变对幅值的影响只有1/32768人耳完全无法分辨。出题人会把Flag的每个bit依次写入每个采样点的最低位或者稍微变种写在次低位bit 1甚至更高的位。一个WAV文件如果采样率是44.1kHz单声道那么一秒钟就有44100个采样点能塞下44100个bit约5500字节。存一个40字节的Flag只需要320个采样点连0.01秒的音频量都不到。换句话说从听感上找差异是不可能的必须跑脚本。2.3 摩斯电码与信号时长隐藏还有一些题不走频率覆盖也不走bit替换而是用“短音”和“长音”编码信息。比如一段音频里只有“嘀”和“嗒”两种声音“嘀”是短音“嗒”是长音声音之间的停顿也有长短之分。这本质上是摩斯电码只是把电信号换成了音频脉冲。这种类型的音频人耳其实是能分辨出节奏的只是慢速播放或看波形图会更清楚。脚本层面可以计算音频的包络能量划分出“有声段”和“无声段”再统计每个声段的时长比例把“短”和“长”映射成点和划最后转成摩斯码字符。2.4 文件尾部追加与注释块隐藏不需要多高深的信号处理直接在WAV文件末尾追加一段ASCII文本或者追加一个压缩包也是常见玩法。原因很简单WAV的data块长度在RIFF头里写明后播放器通常不关心文件实际大小比声明的长多少追加内容不影响播放。这类题用binwalk扫一下就能发现“有东西”或者直接用xxd noise.wav | tail看文件尾部。如果追加的是RAR或ZIP头binwalk能直接识别并帮你拆出来。这种算是送分题但也别跳过因为在复杂的综合题里尾部隐藏往往是多步流程中的一环。3. 实操全流程一步步从“噪音”WAV中挖出Flag3.1 第一步文件体检先看RIFF头和统计信息拿到文件第一件事不要听先体检。我用一套固定命令组合排查file noise.wav binwalk noise.wav xxd noise.wav | head -20 xxd noise.wav | tail -20file会告诉你文件真实的格式、采样率、位深、声道数。binwalk会扫描文件内嵌的其他文件如果尾部藏了压缩包这里基本会现形。xxd看头部和尾部头部能确认是不是标准RIFF/WAVE头尾部能直接看到明文追加内容。看完命令行再用Python按结构读取一遍因为在后面的提取脚本里也需要这些参数import wave w wave.open(noise.wav, rb) n_channels w.getnchannels() sampwidth w.getsampwidth() framerate w.getframerate() n_frames w.getnframes() print(f声道数: {n_channels}) print(f采样宽度: {sampwidth} 字节) # 2表示16bit1表示8bit print(f采样率: {framerate} Hz) print(f总帧数: {n_frames}) data w.readframes(n_frames) w.close() print(f原始数据字节数: {len(data)})如果file显示正常binwalk没扫出内嵌文件尾部也没有明文就进入下一步可视化分析。3.2 第二步波形与频谱图看人耳听不出的信息波形图看的是时域包络。如果音频里有明显的短音和长音交替波形图上会出现“高能量段”和“低能量段”交替排列的规律这是摩斯电码的典型特征。如果波形看起来就是一片均匀噪音没有任何结构基本可以排除摩斯转向频谱分析。频谱图用Python画也很简单核心代码如下import wave import numpy as np import matplotlib.pyplot as plt from scipy.signal import spectrogram def load_wav(filename): w wave.open(filename, rb) n_channels w.getnchannels() n_frames w.getnframes() data np.frombuffer(w.readframes(n_frames), dtypenp.int16) w.close() if n_channels 2: data data.reshape(-1, 2) data data.mean(axis1).astype(np.int16) return data, w.getframerate() data, fs load_wav(noise.wav) f, t, Sxx spectrogram(data, fs, nperseg1024, noverlap512) plt.figure(figsize(14, 6)) plt.pcolormesh(t, f, 10 * np.log10(Sxx 1e-10), shadinggouraud, cmapviridis) plt.xlabel(时间 (s)) plt.ylabel(频率 (Hz)) plt.ylim(0, fs // 2) plt.colorbar(label能量 (dB)) plt.show()这里有几个细节要注意。nperseg控制窗口大小窗口越大频率分辨率越高但时间分辨率越低窗口越小时间分辨越细但频率越模糊。如果看不清目标频率区域可以调整nperseg的取值比如512或2048。10 * np.log10(Sxx 1e-10)是转成dB单位因为原始STFT值的动态范围极大直接画颜色会集中在一小段区间什么细节都看不到。加一个极小值1e-10是为了防止log(0)导致无穷大。3.3 第三步频谱文字还原Flag当频谱图弹出来眼睛扫一遍如果看到一段清晰的白字或者图案比如在3kHz到6kHz之间有一行字符恭喜这就是出题人画上去的Flag。这一步最简单的解法是肉眼读。缩放图片、调整ylim范围把目标频段放大再调整plt的clim颜色范围把对比度拉高通常能直接读出字符。plt.pcolormesh(t, f, 10 * np.log10(Sxx 1e-10), shadinggouraud, cmapgray) plt.ylim(2000, 8000) plt.clim(-80, -30)单一颜色cmapgray对文字图案反而更清晰。如果字太小可以适当降低ylim上限只保留目标频段或者把图像输出成PNG再人工放大。极少数情况下文字图案会被噪声淹没。这时可以尝试对频谱做一次“差分化”处理把整段信号分成两半一半是有信息的一半是纯噪声然后做频谱相减。不过实际做题时这种操作很少见先调clim基本够用。3.4 第四步写LSB提取脚本把比特重新拼成字节如果频谱图干干净净没有文字图案那大概率是LSB隐写。提取LSB的思路并不复杂把所有采样点的最低位取出来拼成一个bit流然后每8个bit拼成一个字节最后在字节流里搜索可打印字符串。先看基础版脚本import wave import numpy as np import re def extract_lsb_bytes(samples, bit0): bits for s in samples: bits str((int(s) bit) 1) bytes_list [] for i in range(0, len(bits) - 7, 8): b bits[i:i8] bytes_list.append(int(b, 2)) return bytes(bytes_list) w wave.open(noise.wav, rb) n_channels w.getnchannels() n_frames w.getnframes() samples np.frombuffer(w.readframes(n_frames), dtypenp.int16) w.close() if n_channels 2: samples samples.reshape(-1, 2) # 双声道先取左声道试 channel_data samples[:, 0] if n_channels 2 else samples data extract_lsb_bytes(channel_data, bit0) print(data[:200]) # 查找可打印字符串 strings re.findall(rb[ -~]{6,}, data) print(strings)这个脚本把每个16bit采样点的最低1bit取出拼成bit流再按字节切分。int(s) bit) 1是把第bit位的值提取出来 0就是最低位 1就是次低位。跑完看输出如果发现strings里出现CTF{...}直接收工。如果出现一串可打印的乱码初看不像Flag先别急着放弃下面第4章会讲怎么处理。再补充一个稍快的向量化版本数据量大时更高效def extract_lsb_byte_smart(samples, bit0, channel0): if samples.ndim 2: samples samples[:, channel] bit_vals (samples.astype(np.uint16) bit) 1 bit_vals bit_vals[:len(bit_vals) - (len(bit_vals) % 8)] bit_matrix bit_vals.reshape(-1, 8) byte_vals np.packbits(bit_matrix, axis1) return byte_vals[:, 0].tobytes()用np.packbits可以替代手写字节拼接效率更高数据量大时优势明显。3.5 第五步摩斯电码解析与波形特征排查如果波形图呈现出明显的“能量块”规律比如“短-短-短-长-长-短”那基本是摩斯电码。解析思路是先把信号转成能量包络再按阈值分成“有音”和“无音”最后统计每个声段的时长。下面是一份简化但能跑的包络检测脚本import wave import numpy as np w wave.open(noise.wav, rb) n_frames w.getnframes() samples np.frombuffer(w.readframes(n_frames), dtypenp.int16) fs w.getframerate() w.close() frame_len int(fs * 0.01) # 10ms滑动窗口 energy [] for i in range(0, len(samples) - frame_len, frame_len): seg samples[i:iframe_len] rms np.sqrt(np.mean(seg.astype(np.float64) ** 2)) energy.append(rms) energy np.array(energy) threshold (energy.max() energy.min()) / 2 on_off energy threshold # 统计连续1有声和连续0无声的帧数 durations [] prev on_off[0] count 1 for v in on_off[1:]: if v prev: count 1 else: durations.append((prev, count)) prev v count 1 durations.append((prev, count)) # 打印有声段的时长人工比对长短音 for is_sound, length in durations: if is_sound: print(f有声: {length * 0.01:.2f}s)跑完之后看打印的时长如果短音大约0.1秒长音大约0.3秒就能确定单位时间长度是0.1秒。然后把每个有声段映射成.或-无声段按间隔短中长分成“字符内间隔”“字符间间隔”“单词间间隔”。这一步我一般是脚本输出时长再对照摩斯码表人工转换因为自动识别容易受噪声干扰反而不如人快。4. 我踩过的坑常见问题与排查技巧实录4.1 频谱图白茫茫一片什么也看不清这是我遇到最多的情况。频谱图画出来全是均匀的高频噪点没有任何文字图案。原因往往是信息文字的能量太低动态范围被其他频率段盖住了。解决办法分几步把颜色范围clim的范围收紧比如从(-80, -30)开始试如果还是一团白就继续缩到(-60, -40)直到背景变暗、目标变亮。把垂直坐标限制在可能藏信息的频段比如高频题目喜欢藏在4kHz到10kHz你直接plt.ylim(4000, 10000)放大看。切换nperseg调整频率分辨率。nperseg越大频率越细适合找窄带文字nperseg越小时间越细适合找短促信号。换成灰度cmapgray文字边缘更锐利。我实际碰到过最夸张的一次把clim调到(-65, -55)才看清那行字早期的图在默认范围里就是一坨白。4.2 提取出来的字符串是乱码LSB脚本跑出来的内容如果是一串乱码先别急大概率是下面几个原因bit位取错了。出题人可能把信息写在bit 0也可能写在bit 1或bit 2。脚本里bit0的循环改成bit1、bit2再跑一遍。声道没选对。双声道文件左右声道交织存放信息可能只藏在其中一个声道。脚本里channel_data samples[:, 1]换成右声道试试。字节方向反了。bit流拼字节时从MSB到LSB和从LSB到MSB结果是完全不同的。如果int(b, 2)解出来是乱码可以尝试把8bit整体反转再解析。整体顺序反了。有时候Flag的字节顺序被反着写入处理办法是把最终的data反向输出一次。有加密或编码层。比如提取出的内容是Base64字符串需要再解一层甚至可能是XOR加密需要找密钥。不过CTF题库里直接XOR的不多先优先排查前四项。这几个变量组合起来其实有几十种可能。我的操作是写一个简单的循环把bit0/1/2、左右声道、正反方向全部组合跑一遍再对所有结果搜索CTF、flag、key等关键字省去反复手动测试的时间。4.3 数据长度与真相不符可能还有其他层提取出的LSB内容长度不对比如全零字节、或者开头一段有效后面全是垃圾这意味着真正的信息可能只占前面一小部分或者写入时按某种规则跳着采样点写。常见的一种是“每隔N个采样点取一个bit”有的题目会在每个采样点写多个bit比如利用16bit采样值的8个低位等于一隐藏8bit信息。此时脚本里range(0, len(samples), step)之类的间隔参数就需要调整。另一个常见现象是信息只存在于前半段后半段全是清空的零bit只需要截取前几KB内容看。另外我在一次做题时发现LSB提取结果前半段是PNG文件头89 50 4E 47后半段是可打印字符串。这说明出题人在这段音频里既藏了图片又藏了文本。遇到这种情况把提取出的字节流用write落盘成文件再用file工具识别常常能拆出额外线索。4.4 多层隐写叠加怎么办音频题很少只考单一手法高频操作是“频谱图藏提示 LSB藏压缩包 压缩包加密密码藏在摩斯电码里”这种多级串联。遇到这种题处理顺序非常重要。我给自己定了一套固定流程先跑binwalk和尾部查看处理最简单的明文隐藏。再画波形图看有没有摩斯节奏有的话先解摩斯。再画频谱图看有没有文字图案有的话记下来。最后跑LSB脚本结合前面拿到的线索处理压缩包密码或下一步文件。这个顺序的核心逻辑是“由易到难、由外到内”。如果一上来就死磕LSB可能解出一堆无意义字节反而忽略了频谱图里的明文提示。最后再分享一个习惯我个人的经验是音频隐写题最忌“凭感觉找”。感觉音频有点奇怪、感觉这里有点刺耳这些都是主观信号很难推导出确定答案。反倒是客观工具的输出——file的类型识别、binwalk的扫描结果、频谱图的视觉图案、LSB脚本的提取字节——每一步都不依赖听感可复现、可验证、可交叉比对。把流程固定下来按部就班跑一遍大多数WAV隐写题都能有突破口。小技巧方面建议把上面的频谱绘制脚本和LSB提取脚本整理成自己常用的工具函数保存成一个wav_stego.py遇到音频题直接import。每次查完频谱图也顺手把图保存成PNG后续在题目讨论区复盘时方便对照。另外即使在频谱图里已经看到了Flag字样也建议再用脚本把目标频段单独滤出来听一下这不仅帮你确认信息位置还能积累“那段频率大约长什么样”的经验下次遇到类似噪音题一眼就能定位。