逆向中巧遇MISC圖片隱藏

蚁景网安实验室發表於2024-09-20

這道題比較有意思，而且因為我對misc並不是很熟悉，發現該題目將flag隱藏在圖片的顏色屬性，巧妙的跟蹤到這些密文位置，拿下題目一血，還是很有參考學習意義的。（題目附件，加V：dctintin）

1、圖片RGB隱寫

賽後去查閱了相關資料，發現該題採用了RGB隱寫，特此總結一下，幫助讀者理解。

lsb 隱寫題在 ctf 中也經常考到，LSB即為最低有效位，我們知道，圖片中的影像畫素一般是由 RGB三原色（紅綠藍）組成，每一種顏色佔用 8 位，取值範圍為 0x00~0xFF，即有256 種顏色，一共包含了 256 的 3 次方的顏色，即 16777216種顏色。而人類的眼睛可以區分約 1000萬種不同的顏色，這就意味著人類的眼睛無法區分餘下的顏色大約有 6777216種。

LSB 隱寫就是修改 RGB顏色分量的最低二進位制位也就是最低有效位（LSB），而人類的眼睛不會注意到這前後的變化，每個像數可以攜帶3 位元的資訊。

上圖我們可以看到，十進位制的 235表示的是綠色，我們修改了在二進位制中的最低位，但是顏色看起來依舊沒有變化。我們就可以修改最低位中的資訊，實現資訊的隱寫

本題屬於修改RGB的最後一個位，一共可以隱藏三個位，RGB（三原色）

R：隱藏最高位

G：隱藏最高位

B：隱藏最高位

2、實戰

2.1 初識

題目給了一個ELF檔案和一個png圖片，猜測會對png進行解密操作

很明顯要麼加密了圖片，要麼隱藏了資料

pic_hide

2.2 IDA 深入分析

我們先對整個題目流程做一定的理解，然後討論解題思路

首先，自己搭建遠端除錯環境（比較簡單，不在詳細說明）

注意：要將題目提供的圖片拖進dbgserv資料夾

分析main函式

發現程式碼可以分為三部分：

1、讀取png圖片內容和輸入秘鑰

2、對png的RGB進行操作隱藏輸入的秘鑰

3、關閉流環境

我們可以這樣理解，出題人會將flag作為輸入的秘鑰，經過程式操作隱藏在png的RGB中。

當然我們並不知道秘鑰，但是可以構造一個假的flag，將其輸入。此時我們可以看到程式將輸入隱藏在png的哪些位置

獲得了這些位置之後（隱藏的是真正flag的組成位）就可以單獨把這些隱藏的位拼接出來

0123456789abcdefghijklmnopqrstuv

從而得到flag

【----幫助網安學習，以下所有學習資料免費領！加vx：dctintin，備註 “部落格園” 獲取！】

　① 網安學習成長路徑思維導圖
　② 60+網安經典常用工具包
　③ 100+SRC漏洞分析報告
　④ 150+網安攻防實戰技術電子書
　⑤ 最權威CISSP 認證考試指南+題庫
　⑥ 超1800頁CTF實戰技巧手冊
　⑦ 最新網安大廠面試題合集（含答案）
　⑧ APP客戶端安全檢測指南（安卓+IOS）

2.3 解題

printf("Usage: %s [infile] [outfile]\n", *a2);

./cvhider pic_hide.png pic_hix.png

執行程式會提示輸入：

分析part_flag_2

read_png會返回加密資料儲存的位置，我們直接複製，然後組成即可

所以我們先解密part1

lis1=[
    0xFF, 0xFF, 0xFF, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFE,
    0xFF, 0xFF, 0xFF, 0x00, 0x01, 0x00, 0x01, 0x00, 0x00, 0x00,
    0x00, 0x00, 0x00, 0x01, 0x01, 0x01, 0x00, 0x01, 0x01, 0x01,
    0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x00, 0x01, 0x01, 0x00,
    0x00, 0x00, 0x01, 0x01, 0x01, 0x00, 0x00, 0x01, 0x01, 0x00,
    0x01, 0x00, 0x00, 0x01, 0x00, 0x01, 0x01, 0x00, 0x01, 0x01,
    0x00, 0x00, 0x01, 0x01, 0x00, 0x00, 0x00, 0x01, 0x00, 0x01,
    0x00, 0x00, 0x01, 0x01, 0x00, 0x01, 0x00, 0x00, 0x01, 0x01,
    0x00, 0x01, 0x01, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x01,
    0x01, 0x00, 0x00, 0x01, 0x01, 0x01, 0x00, 0x01, 0x01, 0x01,
    0x00, 0x01, 0x00, 0x01, 0x01, 0x01, 0x01, 0x01, 0x01, 0x00,
    0x00, 0x01, 0x01, 0x01, 0x01, 0x01, 0x01, 0x01, 0x01, 0x00,
    0x00, 0x01, 0x01, 0x00, 0x01, 0x00, 0x01, 0x00, 0x01, 0x00,
    0x00, 0x00, 0xFE, 0x00, 0x00, 0xFE, 0x00, 0x00, 0xFE, 0x00,
    0x00, 0x00, 0x00, 0x00, 0xFE, 0x00, 0x00, 0xFE, 0x00, 0x00,
    0x00, 0x00, 0xFE, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
    0x00, 0x00, 0x00, 0x00, 0xFE, 0x00, 0x00, 0x00, 0x00, 0x00,
    0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,

]
for i in range(len(lis1)//8):

    for j in range(8):
        print(lis1[i*8+j] & 0x1, end="")
    print("", end=",")

生成

11100100,01110101,00000011,10111001,00001100,01110011,01001011,01100110,00101001,10100110,11001000,11001110,11101011,11110011,11111100,11010101,00000000,00000000,00000000,00000000,00000000,00000000,

拿到第一部分的flag

fa{9b1d692a3ae28

然後用同樣的方法解密part2，注意part2密文長度為 32 位元組

lis1=[
    0xFF, 0xFF, 0xFE, 0xFF, 0xFE, 0xFE, 0xFE, 0xFE, 0xFE, 0xFE,
    0xFF, 0xFF, 0xFE, 0xFE, 0xFF, 0xFE, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFE, 0xFF, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFE, 0xFE, 0xFF,
    0xFE, 0xFE, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFE, 0xFE,
    0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFE, 0xFF, 0xFE, 0xFF, 0xFE,
    0xFE, 0xFF, 0xFE, 0xFF, 0xFF, 0xFF, 0xFE, 0xFE, 0xFE, 0xFF,
    0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFE,
    0xFE, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFE,
    0xFF, 0xFE, 0xFE, 0xFE, 0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFE,
    0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFF, 0xFF, 0xFF, 0xFE, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFE, 0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFF,
    0xFF, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFF, 0xFE, 0xFF, 0xFE,
    0xFE, 0xFE, 0xFF, 0xFF, 0xFF, 0xFF, 0xFE, 0xFF, 0xFE, 0xFE,
    0xFF, 0xFE, 0xFE, 0xFE, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFE,
    0xFE, 0xFF, 0xFE, 0xFE, 0xFE, 0xFE, 0xFF, 0xFE, 0xFF, 0xFE,
    0xFE, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFE, 0xFE,
    0xFE, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFE, 0xFE, 0xFE, 0xFF,
    0xFE, 0xFE, 0xFE, 0xFF, 0xFF, 0xFF, 0xFE, 0xFE, 0xFE, 0xFF,
    0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFE, 0xFF, 0xFE, 0xFE,
    0xFE, 0xFE, 0xFF, 0xFF, 0xFF, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF,
    0xFE, 0xFE, 0xFF, 0xFF, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF,
    0xFF, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFF, 0xFF, 0xFE,
    0xFE, 0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFF, 0xFF, 0xFE, 0xFF,
    0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFF, 0xFF, 0xFF, 0xFE, 0xFF,
    0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,

]
for i in range(len(lis1)//8):
    for j in range(8):
        print(lis1[i*8+j] & 0x1, end="")
    print("", end=",")

所以flag是兩部分相組合

flag{89ab917de6c9021ab34ade7248}

更多網安技能的線上實操練習，請點選這裡>>

Typora 隱藏側邊欄圖片資料夾
2023-04-26
CoordinatorLayout、AppBarLayout實現上滑隱藏圖片，下滑顯示圖片
2017-03-15
APP
win10怎麼隱藏桌面圖示_win10如何隱藏桌面圖示
2020-06-25
Win10
OSX中隱藏和顯示[隱藏檔案]的命令列
2018-10-20
命令列
圖片隱藏真實的檔名及路徑的方法探討
2024-06-27
R語言中繪圖設定圖例中隱藏圖例的框線
2024-03-17
R語言繪圖
使用組策略隱藏控制皮膚中圖示的方法
2009-03-19
.NET 5 中的隱藏特性
2020-11-12
圖片隱寫總結
2020-10-02
如何隱藏工作列的圖示win10_win10怎麼隱藏狀態列圖示
2019-12-17
Win10
c++中的隱藏及過載、重寫與隱藏的區別
2016-12-05
C++
聊聊React中的隱藏彩蛋功能
2023-04-25
React
win10隱藏桌面圖示怎麼顯示 win10隱藏桌面圖示如何恢復
2020-09-12
Win10
怎麼隱藏win10桌面圖示隱藏win10系統桌面所有圖示的方法
2015-10-16
Win10
MAC如何顯示隱藏檔案和隱藏隱藏檔案的命令
2011-11-01
Mac
影像隱寫之使用PHP隱藏影像中的文字
2018-02-07
PHP
隱藏ip
2012-05-03
隱藏索引
2024-07-17
索引
微信小程式裡面canves壓縮圖片但是沒法隱藏，找到幾種方案
2020-10-22
微信小程式
直播app系統原始碼，使用element ui隱藏元件實現圖片預覽功能
2023-02-24
APP原始碼UI元件
IE瀏覽器下js無法獲取隱藏圖片尺寸簡單介紹
2017-03-31
瀏覽器JS
win10怎麼雙擊隱藏桌面圖示 Win10隱藏桌面圖示的三種方法
2022-04-09
Win10
MacOS X隱藏和顯示隱藏檔案
2017-12-13
Mac
Mac顯示和隱藏“隱藏檔案”命令
2024-03-27
Mac
隱藏資料夾怎麼取消隱藏關閉隱藏檔案的辦法
2021-11-03
go 中 defer 的一個隱藏功能
2019-12-11
Go
MySQL 8.0 中的索引可以隱藏了！
2021-01-25
MySql索引
隱藏域在Ajax中的應用
2020-11-08
隱藏JqueryMobile中的Header與Footer
2014-06-22
jQueryHeader
如何在指標中隱藏資料？
2014-08-06
指標
ubuntu中將皮膚自動隱藏
2011-08-08
Ubuntu
C++中的覆蓋和隱藏
2012-09-21
C++
網頁中隱藏幀的妙用 (轉)
2007-08-17
網頁
win10 如何顯示隱藏圖示_win10系統右下角的圖示怎麼隱藏
2020-08-10
Win10
win10隱藏工作列圖示怎麼設定 win10隱藏工作列圖示方法介紹
2022-10-10
Win10
win10圖示隱藏了怎麼弄出來_win10顯示隱藏的圖示設定方法
2022-03-04
Win10
vue 滑鼠移入顯示圖示 ,滑鼠移出隱藏圖示
2018-11-14
Vue
隱藏在JPG圖片EXIF頭部中的惡意軟體
2013-07-17
Oracle 隱藏列
2021-12-13
Oracle