CTFshow misc入门 图片篇(信息附加)

misc5

        使用010editor或者winhex打开图片在文本最后发现flag（也可以直接ctrl+F搜索flag）

至此得到本题flag：ctfshow{2a476b4011805f1a8e4b906c8f84083e}

misc6

        使用010editor或者winhex打开图片直接ctrl+F搜索ctf获得flag

至此得到本题flag：ctfshow{d5e937aefb091d38e70d927b80e1e2ea}

misc7

        使用010editor或者winhex打开图片直接ctrl+F搜索ctf获得flag

至此得到本题flag：ctfshow{c5e77c9c289275e3f307362e1ed86bb7}

misc8

第一步：

        使用binwalk查看图片，图片里面还有个图片

第二步：

        使用foremost进行文件分离，得到的另外一张图片就是flag

至此得到本题flag：ctfshow{1df0a9a3f709a2605803664b55783687}

misc9

        使用010editor或者winhex打开图片直接ctrl+F搜索ctf获得flag

至此获得本题flag：ctfshow{5c5e819508a3ab1fd823f11e83e93c75}

misc10

        使用010editor或者winhex查看图片16进制无果后，使用binwalk查看和分离图片，在分离出来的文件中打开10E5得到flag

至此得到本题flag：ctfshow{353252424ac69cb64f643768851ac790}

misc11

        使用TweakPNG打开图片，发现第一个IDAT比第二个IDAT长度小，说明第一个数据块没铺满就开始铺第二个数据块，删除第一块IDAT数据库，保存图片得到flag

至此得到本题flag：ctfshow{44620176948fa759d3eeafeac99f1ce9}

misc12

        使用TweakPNG打开图片查看图片IDAT数据块，发现IDAT数据块大小并不是逐块铺满，可能是人为修改。逐个删除IDAT，然后按F7预览图片，删到第八个时得到flag

至此得到本题flag：ctfshow{10ea26425dd4708f7da7a13c8e256a73}

misc13

        使用010editor或winhex查看图片，在图片接近末尾处发现疑似flag的标志，但是发现flag字符串中的每个字符中间都隔了一个其他字符

        将这段16进制复制下来，编写一段脚本，从这段16进制中，隔4个字符取前2个字符，将提取后的16进制字符串进行16进制解码获得最后的flag

s="631A74B96685738668AA6F4B77B07B216114655336A5655433346578612534DD38EF66AB35103195381F628237BA6545347C3254647E373A64E465F136FA66F5341E3107321D665438F1333239E9616C7D"
flag=""
for i in range(0,len(s),4):
    flag += s[i]
    flag += s[i+1]
print(flag)

至此得到本题flag：ctfshow{ae6e3ea48f518b7e42d7de6f412f839a}

misc14

        使用010editor查看16进制无果后，使用binwalk查看图片发现存在两张图片，使用binwalk和foremost分离失败，只能使用dd命令了

        在kali中使用dd分离图片，skip指定第二张图片的偏移量，分离后的图片就是flag

至此得到本题flag：ctfshow{ce520f767fc465b0787cdb936363e694}

misc15

        使用010editor打开图片，直接搜索ctfshow得到flag

至此得到本题flag：ctfshow{fbe7bb657397e6e0a6adea3e40265425}

misc16

        使用binwalk查看图片，发现有一个LZMA压缩数据，分离出来后有个DD4文件，用记事本打开得到flag

至此得到本题flag：ctfshow{a7e32f131c011290a62476ae77190b52}

misc17

        使用binwalk查看图片，发现图片里面有东西应该是个压缩包，分离出来后发现打不开

        使用TweakPNG打开图片发现很多IDAT数据块，他们的长度除了最后一个都一样，尝试进行IDAT合并，点击Edit > combine all IDAT合并所有IDAT数据块

        重新使用binwalk分析图片，发现有个压缩包，使用binwalk分离出来，解压后D6E文件，使用010editor查看发现是张png图片，修改后缀名查看得到flag

至此得到本题flag：ctfshow{0fe61fc42e8bbe55b9257d251749ae45}

misc18

        查看图片属性，分别在标题、作者、照相机和镜头型号里找到flag

至此得到本题flag：ctfshow{325d60c208f728ac17e5f02d4cf5a839}

misc19

        题目提示了：flag在主机上的文档名里，查看图片属性找不到flag，可以在kali中使用exiftool查看图片的各种信息(更详细)

至此得到本题flag：ctfshow{dfdcf08038cd446a5eb50782f8d3605d}

misc20

        题目提示了：flag在评论里，查看图片属性找不到flag，可以在kali中使用exiftool查看，发现有段提示，是flag的谐音

至此得到本题flag：ctfshow{c97964b1aecf06e1d79c21ddad593e42}

misc21

        题目提示了：flag在序号里，使用exiftool查看图片属性，看到flag的标志，但是内容是空的，在序号那看到一串数字但不是flag

        将其进行16进制解码得到提示：hex(X&Ys)，将上面的四段x和y分别转16进制后组合起来就是flag

至此得到本题flag：ctfshow{e8a221498d5c073b4084eb51b1a1686d}

misc22

        题目提示flag在图片里，通过常规操作没有任何线索，使用exiftool查看图片信息时发现图片存在缩略图，使用exiftool可以提取缩略图

exiftool -ThumbnailImage -b misc22.jpg > flag

至此得到本题flag：ctfshow{dbf7d3f84b0125e833dfd3c80820a129}

misc23

        使用exiftool查看图片信息，发现有关时间的有四个历史时间，将这四个时间转成时间戳，然后分别转16进制就是flag

至此得到本题flag：ctfshow{3425649ea0e31938808c0de51b70ce6a}

misc41

        题目提示：H4ppy Apr1l F001's D4y！使用010editor打开图片，尝试搜索F001发现由F001组成了flag

至此得到本题flag：ctfshow{fcbd427caf4a52f1147ab44346cd1cdd}