Misc题目中图片隐写和流量分析的详细工具使用技巧

基础信息检查​

图片属性、文件末尾可能直接藏有线索。

1. 文件属性：用file命令判断真实类型。2. 元数据(EXIF)：使用exiftool查看所有信息，特别注意Comment、Author等字段。3. 字符串搜索：`strings filename

文件附加/分离​

其他文件（如压缩包）被直接拼接到图片后。

1. 分析：binwalk filename可分析文件结构。2. 提取：binwalk -e filename自动分离（无视伪加密）。若失败，可尝试foremost或手动用010 Editor复制十六进制数据到新文件。

LSB（最低有效位）隐写​

修改像素RGB值的最低位来隐藏信息，人眼难以察觉。

1. Stegsolve：神器级工具。打开图片后，使用Analyze > Data Extract功能。重点调整红框中的参数：勾选相应的位平面（如Red plane 0, Green plane 0, Blue plane 0），尝试不同的组合模式（如ARC、BGR等），然后点击Preview或Save Bin。2. zsteg：PNG/BMP专杀工具。命令zsteg image.png可自动检测多种LSB隐写模式，支持-a参数进行所有检测。

图片修复类​

文件头错误、尺寸被修改导致图片无法正常显示。

1. 文件头修复：根据常见文件头（如PNG:89 50 4E 47，JPEG:FF D8 FF），用010 Editor手动修复。2. CRC/宽高修复：PNG图片的宽高值存储在IHDR块中并有CRC校验。若CRC校验错误，可使用TweakPNG工具或Python脚本爆破出正确的宽高值。

特定工具隐写​

使用如Steghide等工具进行带密码的隐写。

1. Steghide：尝试无密码提取：steghide extract -sf image.jpg。若需要密码，可尝试空密码、图片名称等弱口令，或使用stegcracker等工具进行密码爆破。2. F5隐写、OutGuess等也有对应工具，题目常会给出提示。

其他高级技巧​

通道分离、盲水印、GIF帧处理等。

1. Stegsolve：可用于分析不同颜色通道、GIF逐帧浏览、图片异或叠加等。2. 盲水印：使用BlindWaterMark工具处理两张相似图片。3. GIF抽帧：可用Stegsolve的Frame Browser，或Kali的convert命令：convert aaa.gif flag.png。

快速定位​

协议分级统计​ (Statistics > Protocol Hierarchy)

了解流量组成概貌。

筛选数据流​

1. IP/端口筛选：ip.addr==192.168.1.1,tcp.port==80
2. 协议筛选：http,tcp,icmp
3. 排除协议：!arp或not arp
4. HTTP方法/URI：http.request.method=="GET",http.request.uri=="/admin.php"
5. 内容筛选：http contains "flag",tcp contains "password"

使用显示过滤器快速缩小范围。

还原会话内容​

追踪流​ (Follow TCP Stream/UDP Stream/HTTP Stream)

关键功能！可将一个会话的完整数据还原为可读文本，常用于分析HTTP请求响应、命令执行结果等。

提取传输文件​

文件导出​ (File > Export Objects > HTTP)

可批量导出通过HTTP传输的文件（如图片、压缩包、可执行文件），然后分别分析。