BUUCTF(Misc)——FLAG

题目

附件下载下来是一张图片

解答

step1：拿到一张图片的思路

1.首先拿到winhex中看看它的文件头的十六进制跟图片的后缀是否匹配（比如.png后缀的十六进制是不是89 50。。）

2.拿到winhex中查找flag字符串，或者查找flag的十六进制形式66 6c 61 67

3.看看winhex的右侧ASCII码部分是否有xx.txt，xx.png这样类似的隐藏文件，如果有的话，用foremost进行文件分离

4.还是找不到的话很可能是图像隐写，可以放到stegsolve中
几种用法：

①图片直接扔进去直接点点点，点下一个，看看是否有隐藏信息

②如果给出两张相似照片，很可能是两张照片结合，使用analyse中的image combiner功能，叠加图片，一次出不来可能是图一叠加在图二上或者是图二叠加在图一上

③LSB隐写：遇到Red plane 0、Green plane 0、Blue plane 0是空白或者黑色或者与其他页面相差很大时，可能是LSB隐写，打开Extract Preview，把Red、Green、Blue三项设为0，点Preview查看上方是否存在flag信息
如果还是没有，可以尝试切换成LSB First

如果显示它的格式，比如PK，选择SaveBin，文件后缀为zip

④遇到图片后缀为.bmp的可以改为.png再查看试试

step2：放到winhex中图片查找不到flag和隐藏信息

没有隐藏信息

step3：放进stegsolve中点点点没有什么发现，猜测是LSB隐写

step4：发现文件头是50 4b。。，这不就是zip文件吗，保存为zip文件，打开得到一个1文件

但是打不开，显示文件已损坏

step5：如何查看到文件呢，我们尝试一下foremost文件分离

成功得到文件

step6：未知文件的类型，放到winhex中进行查看

得到flag：flag{dd0gf4c3tok3yb0ard4g41n~~~}