【笔记】CTF图片、文件的简单取证

原课程链接：CTF取证实战课程（入门级）- 51CTO

https://edu.51cto.com/course/15228.html

 

文件、图片取证的简单思路：

1、gif图片：提取、拼合

2、可挂载系统文件：挂载系统文件

3、未知格式文件：查看十六进制编码，可能是Magic Header的修改

4、隐藏文件：binwalk提取文件中的隐藏信息；ls -a

5、PCAP：查找敏感信息，分离文件；USB信息

6、压缩包：爆破密码

7、文本：解码，解密

 

 

GIF取证

 

情况1：Flag隐藏在GIF的某一帧中

方法：将每一帧拆分成一个单独的png

linux下，使用：

convert gif文件名 %02d.png

 这句话的意思是将gif的每一帧拆分，并按数字顺序（%02d的作用）命名。

 

情况2：Flag需要将GIF各帧上的图形拼在一起才显现出来

方法：分离再组合

第一步分离：

convert gif文件名 %02d.png

第二步去掉背景白色：

ls *.png | while read filename; do convert $filename -transparent white $filename; done