逆向中巧遇MISC圖片隱藏

蚁景网安实验室發表於2024-09-20

這道題比較有意思，而且因為我對misc並不是很熟悉，發現該題目將flag隱藏在圖片的顏色屬性，巧妙的跟蹤到這些密文位置，拿下題目一血，還是很有參考學習意義的。（題目附件，加V：dctintin）

1、圖片RGB隱寫

賽後去查閱了相關資料，發現該題採用了RGB隱寫，特此總結一下，幫助讀者理解。

lsb 隱寫題在 ctf 中也經常考到，LSB即為最低有效位，我們知道，圖片中的影像畫素一般是由 RGB三原色（紅綠藍）組成，每一種顏色佔用 8 位，取值範圍為 0x00~0xFF，即有256 種顏色，一共包含了 256 的 3 次方的顏色，即 16777216種顏色。而人類的眼睛可以區分約 1000萬種不同的顏色，這就意味著人類的眼睛無法區分餘下的顏色大約有 6777216種。

LSB 隱寫就是修改 RGB顏色分量的最低二進位制位也就是最低有效位（LSB），而人類的眼睛不會注意到這前後的變化，每個像數可以攜帶3 位元的資訊。

上圖我們可以看到，十進位制的 235表示的是綠色，我們修改了在二進位制中的最低位，但是顏色看起來依舊沒有變化。我們就可以修改最低位中的資訊，實現資訊的隱寫

本題屬於修改RGB的最後一個位，一共可以隱藏三個位，RGB（三原色）

R：隱藏最高位

G：隱藏最高位

B：隱藏最高位

2、實戰

2.1 初識

題目給了一個ELF檔案和一個png圖片，猜測會對png進行解密操作

很明顯要麼加密了圖片，要麼隱藏了資料

pic_hide

2.2 IDA 深入分析

我們先對整個題目流程做一定的理解，然後討論解題思路

首先，自己搭建遠端除錯環境（比較簡單，不在詳細說明）

注意：要將題目提供的圖片拖進dbgserv資料夾

分析main函式

發現程式碼可以分為三部分：

1、讀取png圖片內容和輸入秘鑰

2、對png的RGB進行操作隱藏輸入的秘鑰

3、關閉流環境

我們可以這樣理解，出題人會將flag作為輸入的秘鑰，經過程式操作隱藏在png的RGB中。

當然我們並不知道秘鑰，但是可以構造一個假的flag，將其輸入。此時我們可以看到程式將輸入隱藏在png的哪些位置

獲得了這些位置之後（隱藏的是真正flag的組成位）就可以單獨把這些隱藏的位拼接出來

0123456789abcdefghijklmnopqrstuv

從而得到flag

【----幫助網安學習，以下所有學習資料免費領！加vx：dctintin，備註 “部落格園” 獲取！】

　① 網安學習成長路徑思維導圖
　② 60+網安經典常用工具包
　③ 100+SRC漏洞分析報告
　④ 150+網安攻防實戰技術電子書
　⑤ 最權威CISSP 認證考試指南+題庫
　⑥ 超1800頁CTF實戰技巧手冊
　⑦ 最新網安大廠面試題合集（含答案）
　⑧ APP客戶端安全檢測指南（安卓+IOS）

2.3 解題

printf("Usage: %s [infile] [outfile]\n", *a2);

./cvhider pic_hide.png pic_hix.png

執行程式會提示輸入：

分析part_flag_2

read_png會返回加密資料儲存的位置，我們直接複製，然後組成即可

所以我們先解密part1

lis1=[
    0xFF, 0xFF, 0xFF, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFE,
    0xFF, 0xFF, 0xFF, 0x00, 0x01, 0x00, 0x01, 0x00, 0x00, 0x00,
    0x00, 0x00, 0x00, 0x01, 0x01, 0x01, 0x00, 0x01, 0x01, 0x01,
    0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x00, 0x01, 0x01, 0x00,
    0x00, 0x00, 0x01, 0x01, 0x01, 0x00, 0x00, 0x01, 0x01, 0x00,
    0x01, 0x00, 0x00, 0x01, 0x00, 0x01, 0x01, 0x00, 0x01, 0x01,
    0x00, 0x00, 0x01, 0x01, 0x00, 0x00, 0x00, 0x01, 0x00, 0x01,
    0x00, 0x00, 0x01, 0x01, 0x00, 0x01, 0x00, 0x00, 0x01, 0x01,
    0x00, 0x01, 0x01, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x01,
    0x01, 0x00, 0x00, 0x01, 0x01, 0x01, 0x00, 0x01, 0x01, 0x01,
    0x00, 0x01, 0x00, 0x01, 0x01, 0x01, 0x01, 0x01, 0x01, 0x00,
    0x00, 0x01, 0x01, 0x01, 0x01, 0x01, 0x01, 0x01, 0x01, 0x00,
    0x00, 0x01, 0x01, 0x00, 0x01, 0x00, 0x01, 0x00, 0x01, 0x00,
    0x00, 0x00, 0xFE, 0x00, 0x00, 0xFE, 0x00, 0x00, 0xFE, 0x00,
    0x00, 0x00, 0x00, 0x00, 0xFE, 0x00, 0x00, 0xFE, 0x00, 0x00,
    0x00, 0x00, 0xFE, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
    0x00, 0x00, 0x00, 0x00, 0xFE, 0x00, 0x00, 0x00, 0x00, 0x00,
    0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,

]
for i in range(len(lis1)//8):

    for j in range(8):
        print(lis1[i*8+j] & 0x1, end="")
    print("", end=",")

生成

11100100,01110101,00000011,10111001,00001100,01110011,01001011,01100110,00101001,10100110,11001000,11001110,11101011,11110011,11111100,11010101,00000000,00000000,00000000,00000000,00000000,00000000,

拿到第一部分的flag

fa{9b1d692a3ae28

然後用同樣的方法解密part2，注意part2密文長度為 32 位元組

lis1=[
    0xFF, 0xFF, 0xFE, 0xFF, 0xFE, 0xFE, 0xFE, 0xFE, 0xFE, 0xFE,
    0xFF, 0xFF, 0xFE, 0xFE, 0xFF, 0xFE, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFE, 0xFF, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFE, 0xFE, 0xFF,
    0xFE, 0xFE, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFE, 0xFE,
    0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFE, 0xFF, 0xFE, 0xFF, 0xFE,
    0xFE, 0xFF, 0xFE, 0xFF, 0xFF, 0xFF, 0xFE, 0xFE, 0xFE, 0xFF,
    0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFE,
    0xFE, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFE,
    0xFF, 0xFE, 0xFE, 0xFE, 0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFE,
    0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFF, 0xFF, 0xFF, 0xFE, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFE, 0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFF,
    0xFF, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFF, 0xFE, 0xFF, 0xFE,
    0xFE, 0xFE, 0xFF, 0xFF, 0xFF, 0xFF, 0xFE, 0xFF, 0xFE, 0xFE,
    0xFF, 0xFE, 0xFE, 0xFE, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFE,
    0xFE, 0xFF, 0xFE, 0xFE, 0xFE, 0xFE, 0xFF, 0xFE, 0xFF, 0xFE,
    0xFE, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFE, 0xFE,
    0xFE, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFE, 0xFE, 0xFE, 0xFF,
    0xFE, 0xFE, 0xFE, 0xFF, 0xFF, 0xFF, 0xFE, 0xFE, 0xFE, 0xFF,
    0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFE, 0xFF, 0xFE, 0xFE,
    0xFE, 0xFE, 0xFF, 0xFF, 0xFF, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF,
    0xFE, 0xFE, 0xFF, 0xFF, 0xFE, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF,
    0xFF, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF, 0xFF, 0xFF, 0xFE,
    0xFE, 0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFF, 0xFF, 0xFE, 0xFF,
    0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFF, 0xFF, 0xFF, 0xFE, 0xFF,
    0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFF, 0xFE, 0xFE, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF, 0xFF,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,
    0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00,
    0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF,
    0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00, 0x00, 0xFF, 0x00,

]
for i in range(len(lis1)//8):
    for j in range(8):
        print(lis1[i*8+j] & 0x1, end="")
    print("", end=",")

所以flag是兩部分相組合

flag{89ab917de6c9021ab34ade7248}

更多網安技能的線上實操練習，請點選這裡>>

png圖片隱寫例項之隱藏二維碼
2024-11-14
Typora 隱藏側邊欄圖片資料夾
2023-04-26
buuctf-misc-重新整理過的圖片
2020-10-18
win10怎麼隱藏桌面圖示_win10如何隱藏桌面圖示
2020-06-25
Win10
圖片隱藏真實的檔名及路徑的方法探討
2024-06-27
OSX中隱藏和顯示[隱藏檔案]的命令列
2018-10-20
命令列
R語言中繪圖設定圖例中隱藏圖例的框線
2024-03-17
R語言繪圖
圖片隱寫總結
2020-10-02
如何隱藏工作列的圖示win10_win10怎麼隱藏狀態列圖示
2019-12-17
Win10
.NET 5 中的隱藏特性
2020-11-12
win10隱藏桌面圖示怎麼顯示 win10隱藏桌面圖示如何恢復
2020-09-12
Win10
直播app系統原始碼，使用element ui隱藏元件實現圖片預覽功能
2023-02-24
APP原始碼UI元件
win10怎麼雙擊隱藏桌面圖示 Win10隱藏桌面圖示的三種方法
2022-04-09
Win10
聊聊React中的隱藏彩蛋功能
2023-04-25
React
隱藏索引
2024-07-17
索引
Mac顯示和隱藏“隱藏檔案”命令
2024-03-27
Mac
隱藏資料夾怎麼取消隱藏關閉隱藏檔案的辦法
2021-11-03
win10 如何顯示隱藏圖示_win10系統右下角的圖示怎麼隱藏
2020-08-10
Win10
win10圖示隱藏了怎麼弄出來_win10顯示隱藏的圖示設定方法
2022-03-04
Win10
win10隱藏工作列圖示怎麼設定 win10隱藏工作列圖示方法介紹
2022-10-10
Win10
微信小程式裡面canves壓縮圖片但是沒法隱藏，找到幾種方案
2020-10-22
微信小程式
vue 滑鼠移入顯示圖示 ,滑鼠移出隱藏圖示
2018-11-14
Vue
Python標準庫中隱藏的利器
2023-11-12
Python
go 中 defer 的一個隱藏功能
2019-12-11
Go
隱藏域在Ajax中的應用
2020-11-08
MySQL 8.0 中的索引可以隱藏了！
2021-01-25
MySql索引
Qt 子視窗隱藏標題欄的圖示，隱藏在工作列上的圖示
2024-07-16
QT
HTML圖片鋪滿div元素不變形，超出部分隱藏，保留中心部分css程式碼
2024-07-02
HTMLCSS
GridManager 隱藏列
2019-02-16
Oracle 隱藏列
2021-12-13
Oracle
輕鬆隱藏桌面檔案，檔案隱藏工具FileUnhider
2020-12-23
IDE
圖片隱寫題解第二彈
2020-11-18
圖片隱寫的幾大思考方向
2024-10-19
bugku的圖片隱寫1 這是一張單純的圖片
2020-10-31
FloatingActionButton在RecycleView中滑動隱藏顯示
2018-10-15
View
DevExpress隱藏列表中顯示的加號+
2024-10-18
devExpress
Linux中隱藏檔案與資料夾
2022-07-22
Linux
如何在HTTP頭中隱藏PHP版本號
2023-03-29
HTTPPHP