CTF MISC 工具链实战：Binwalk、Zsteg、WinHex 破解 PNG 双隐写（2 工具 3 步骤）

CTF MISC 工具链实战：Binwalk、Zsteg、WinHex 破解 PNG 双隐写（2 工具 3 步骤）

在 CTF 竞赛的杂项（MISC）类别中，PNG 文件的多重隐写是常见题型。本文将构建一套完整的解题链路，通过Binwalk和Zsteg工具的组合使用，配合WinHex手动验证，系统性地破解包含双重 Flag 的 PNG 文件。以下是实战操作的详细指南：

1. 环境准备与工具安装

1.1 工具安装

• Binwalk（Kali Linux 默认安装）
  若需手动安装：

  sudo apt update && sudo apt install binwalk

• Zsteg（Ruby 环境依赖）
  安装命令：

  gem install zsteg

  若遇到克隆问题，可尝试备用仓库：

  git clone git://github.com/zed-0xff/zsteg

• WinHex（Windows 平台）
  官网下载便携版即可，无需安装。

1.2 文件检查

使用file命令确认目标文件类型：

file stego.png

预期输出应显示PNG image data。若文件被重命名，需先修正扩展名。

2. 第一重隐写：Binwalk 分离隐藏文件

2.1 快速扫描

执行基础扫描检测潜在嵌入文件：

binwalk stego.png

典型输出示例：

DECIMAL HEXADECIMAL DESCRIPTION -------------------------------------------------------------------------------- 0 0x0 PNG image, 800 x 600, 8-bit/color RGB, non-interlaced 123456 0x1E240 JPEG image data, JFIF standard 1.01

关键指标：JPEG image data提示存在隐藏的 JPG 文件。

2.2 文件提取

使用-e参数自动提取嵌入文件：

binwalk -e stego.png

提取结果默认保存在_stego.png.extracted目录，包含：

• 2.jpg（隐藏的 JPG 文件）
• 可能的其他元数据文件

2.3 验证结果

• 方法一：直接查看2.jpg，可能在图片属性或 EXIF 信息中包含 Flag。
• 方法二：使用 WinHex 手动验证：
  1. 用 WinHex 打开stego.png
  2. 搜索FF D8 FF（JPG 文件头标志）
  3. 定位到对应偏移量，验证与 Binwalk 输出是否一致

注意：部分题目会修改文件魔术字，需结合文件结构分析。

3. 第二重隐写：Zsteg 解析 LSB 隐写

3.1 基础扫描

运行 Zsteg 检测 LSB（最低有效位）隐写：

zsteg stego.png

输出示例：

b1,rgb,lsb,xy .. text: "n1book{414e529ece64a77d25cc9ee5108a49c6}" b2,b,lsb,xy .. file: 7-zip archive data, version 0.3

关键指标：lsb,xy标识的文本即 LSB 隐写内容。

3.2 深度检测

若基础扫描无果，尝试以下参数组合：

zsteg -a stego.png # 检测所有通道和位平面 zsteg -E "b1,rgb,lsb,xy" stego.png # 提取指定通道数据

3.3 结果验证

• WinHex 手动分析：
  1. 打开 PNG 文件，定位到 IDAT 数据块
  2. 检查像素数据的末位比特是否异常（如连续 0/1 模式）
  3. 对比 Zsteg 输出的偏移量

4. 交叉验证与技巧补充

4.1 工具结果对比

4.2 常见问题解决

• Zsteg 安装失败：
  确保 Ruby 版本 ≥ 2.4，并安装开发库：

  sudo apt install ruby-dev

• Binwalk 提取异常：
  尝试强制指定提取格式：

  binwalk -D 'jpeg:jpg' stego.png

5. 实战案例演示

假设目标文件stego.png包含：

1. 通过文件拼接隐藏的 JPG（Flag1）
2. 在 RGB 通道 LSB 隐写的文本（Flag2）

操作流程：

# 步骤1：分离隐藏文件 binwalk -e stego.png cat _stego.png.extracted/2.jpg | strings | grep "n1book" # 步骤2：解析LSB隐写 zsteg -E "b1,rgb,lsb,xy" stego.png > flag2.txt # 步骤3：WinHex验证 # 在偏移量0x1E240处确认JPG文件头 # 在IDAT块末字节检查LSB模式

6. 高阶技巧扩展

• 多工具协同：
  结合xxd+grep快速定位隐藏数据：

  xxd stego.png | grep -A 10 "FF D8 FF"

• 自动化脚本：
  编写 Python 脚本批量检测 LSB：

  from PIL import Image img = Image.open("stego.png").convert("RGB") width, height = img.size lsb_bits = [str(pixel[0] & 1) for pixel in img.getdata()] print("".join(lsb_bits)[:100]) # 输出前100位LSB

通过上述流程，我们系统性地解决了 PNG 双重隐写问题。工具组合与手动验证的结合，正是 CTF MISC 赛题的经典破解思路。