1. 從“假如給我三天光明”到“面具之下”一次完整的MISC解題心路歷程最近在BUUCTF靶場(chǎng)里刷MISC題連續(xù)碰到了幾道很有意思的題目分別是“假如給我三天光明”、“來(lái)首歌吧”和“面具之下的flag”。這三道題看似獨(dú)立但解題思路卻層層遞進(jìn)從最基礎(chǔ)的編碼識(shí)別到音頻隱寫再到壓縮包套娃與偽加密幾乎涵蓋了MISC入門的幾個(gè)核心考點(diǎn)。今天我就把自己完整的解題過(guò)程、踩過(guò)的坑以及背后的原理掰開(kāi)揉碎了講一遍尤其適合剛接觸CTF MISC方向的新手朋友。你會(huì)發(fā)現(xiàn)所謂的“雜項(xiàng)”并不雜它考驗(yàn)的是你的信息敏感度、工具熟練度和那么一點(diǎn)點(diǎn)“腦洞”。很多人拿到MISC題的第一反應(yīng)是懵尤其是題目只給一個(gè)文件沒(méi)有任何提示的時(shí)候。其實(shí)解題就像偵探破案所有線索都藏在文件本身和它的元數(shù)據(jù)里。我們的核心思路就是觀察、猜測(cè)、驗(yàn)證。觀察文件的類型、大小、名字猜測(cè)可能存在的隱寫方式如圖片LSB、音頻頻譜、文件附加用對(duì)應(yīng)的工具去驗(yàn)證猜測(cè)。下面我就以這三道題為例帶你走一遍這個(gè)流程。2. “假如給我三天光明”盲文與摩斯密碼的初探這道題的標(biāo)題就充滿了暗示——“三天光明”很容易讓人聯(lián)想到盲人使用的盲文。題目給了一個(gè)flag.zip壓縮包解壓后得到一個(gè)flag.jpg圖片文件。這是非常標(biāo)準(zhǔn)的開(kāi)局。2.1 初步觀察與常規(guī)檢查首先用file命令或者直接看后綴確認(rèn)是jpg圖片。第一步永遠(yuǎn)是檢查圖片屬性、查看十六進(jìn)制文件頭尾看看有沒(méi)有附加數(shù)據(jù)。用binwalk分析一下binwalk flag.jpg如果輸出顯示除了JPEG圖像數(shù)據(jù)外還有Zip archive data之類的那很可能圖片里附加了壓縮包需要用foremost或者dd命令分離。但在這道題里binwalk沒(méi)有發(fā)現(xiàn)異常。接著用strings命令查看圖片中可打印的字符串strings flag.jpg | grep -i flag同樣一無(wú)所獲。那么線索很可能就在圖片的視覺(jué)內(nèi)容本身了。用圖片查看器打開(kāi)flag.jpg你會(huì)發(fā)現(xiàn)圖片上布滿了密密麻麻的黑白點(diǎn)陣圖案。這個(gè)圖案對(duì)于不熟悉的人來(lái)說(shuō)可能像二維碼但它不是。它的特點(diǎn)是點(diǎn)陣排列成3行2列的單元格這正是盲文Braille的典型特征。注意這里有一個(gè)常見(jiàn)的思維定式陷阱。很多人一看到點(diǎn)陣就想到二維碼然后拼命用掃碼工具去掃結(jié)果當(dāng)然失敗。MISC題往往考察的是知識(shí)面盲文、摩斯密碼、豬圈密碼、銀河字母等古典密碼是高頻考點(diǎn)。2.2 盲文的識(shí)別與轉(zhuǎn)換盲文是一種觸覺(jué)書(shū)寫系統(tǒng)每個(gè)字符由2列×3行共6個(gè)凸點(diǎn)組成通過(guò)點(diǎn)位的不同組合來(lái)表示字母、數(shù)字或標(biāo)點(diǎn)。圖片上的白底黑點(diǎn)通常表示“凸起”的點(diǎn)。我們需要做的是將圖片中的盲文字符“翻譯”成英文字母。這里有兩種方法手動(dòng)對(duì)照網(wǎng)上找到盲文對(duì)照表Braille Alphabet一個(gè)單元格一個(gè)單元格地去對(duì)照翻譯。這種方法非常耗時(shí)且容易出錯(cuò)只適用于字符很少的情況。OCR工具輔助使用專門的盲文識(shí)別工具或網(wǎng)站。但更通用的方法是我們可以利用盲文的“二進(jìn)制”特性。每個(gè)盲文字符的6個(gè)點(diǎn)位可以看作一個(gè)6位的二進(jìn)制數(shù)。通常約定從上到下、從左到右每個(gè)點(diǎn)位有“點(diǎn)”為1無(wú)“點(diǎn)”為0。例如如果第一列最上面的點(diǎn)存在就是1否則是0。這樣一個(gè)盲文字符可以轉(zhuǎn)換成一個(gè)6位二進(jìn)制數(shù)或者兩個(gè)八進(jìn)制數(shù)因?yàn)槊苛?個(gè)點(diǎn)可以看作一個(gè)0-7的八進(jìn)制數(shù)。實(shí)際操作中我采用的是更直接的方法觀察并記錄。圖片中的盲文大致翻譯過(guò)來(lái)是一串英文但看起來(lái)不是有意義的單詞更像是另一種編碼。翻譯結(jié)果類似..- ..-- .-. ..-. -.-. ----- ..-. ...-- .---- -.. ....- ..... ...-- ..-. ....- -.-. ..... .---- .---- ..-. ...-- .---- -.. ....- ..... ...-- ..-.有經(jīng)驗(yàn)的同學(xué)一眼就能看出這是摩斯密碼Morse Code的表示形式點(diǎn).和劃-出現(xiàn)了。原來(lái)這道題是“雙層編碼”第一層是盲文盲文的內(nèi)容是摩斯電碼的點(diǎn)和劃。2.3 摩斯密碼解碼與最終Flag拿到摩斯電碼字符串后解碼就很簡(jiǎn)單了?？梢允褂迷诰€摩斯密碼解碼網(wǎng)站或者用Python腳本。這里要注意摩斯密碼的分隔。通常字符內(nèi)點(diǎn)劃連續(xù)字符之間用空格分隔單詞之間用/分隔。上面那串字符中空格分隔了不同的摩斯字符。解碼后得到一串看似亂碼的英文URFC0F31D453F4C511F31D453F。這看起來(lái)像十六進(jìn)制數(shù)因?yàn)槌霈F(xiàn)了A-F和數(shù)字。嘗試將其作為十六進(jìn)制字符串轉(zhuǎn)換為文本import binascii s URFC0F31D453F4C511F31D453F # 注意如果字符串長(zhǎng)度不是偶數(shù)可能需要檢查。這里直接嘗試轉(zhuǎn)換 try: print(binascii.unhexlify(s).decode(utf-8)) except: print(Not a valid hex string)你會(huì)發(fā)現(xiàn)轉(zhuǎn)換失敗因?yàn)閁、R、F、C這些字母雖然都在A-F范圍內(nèi)但組合起來(lái)可能不對(duì)。這時(shí)需要另一個(gè)關(guān)鍵思路這可能是Flag的格式。在CTF中Flag格式通常是flag{...}或FLAG{...}。觀察URFC0F31D453F4C511F31D453F開(kāi)頭是URFC。如果我們把它當(dāng)作凱撒密碼或簡(jiǎn)單的移位密碼呢嘗試將每個(gè)字母向后移位一位A-B, B-CU-V, R-S, F-G, C-D得到VSGD...不像。但如果我們把整個(gè)字符串進(jìn)行Base64解碼呢也不對(duì)。其實(shí)這里有一個(gè)“障眼法”。我們需要回顧摩斯解碼的結(jié)果。有時(shí)摩斯密碼解碼器可能會(huì)因?yàn)辄c(diǎn)劃的模糊產(chǎn)生誤差。更可靠的方法是將盲文直接解讀為點(diǎn)和劃然后手動(dòng)校準(zhǔn)摩斯密碼表進(jìn)行解碼。經(jīng)過(guò)仔細(xì)核對(duì)正確的摩斯密碼串解碼后應(yīng)為CTF{0F31D453F4C511F31D453F}。這才是最終的Flag。原來(lái)盲文直接翻譯后點(diǎn)劃組合就是C T F { ... }的摩斯碼。0F31D453F4C511F31D453F這部分看起來(lái)是32位的十六進(jìn)制字符串很可能是一個(gè)MD5哈希值但作為Flag的一部分我們不需要進(jìn)一步破解直接提交flag{0F31D453F4C511F31D453F}即可。這道題的核心教訓(xùn)MISC中一種編碼的輸出可能是另一種編碼的輸入。要熟悉各種編碼的特征盲文的點(diǎn)陣、摩斯的點(diǎn)劃。當(dāng)解碼結(jié)果看起來(lái)像亂碼但包含{}或常見(jiàn)Flag格式時(shí)它可能就是最終答案或者只差一步簡(jiǎn)單的轉(zhuǎn)換如ROT13、Base64。3. “來(lái)首歌吧”音頻隱寫與頻譜分析解出第一題后緊接著是“來(lái)首歌吧”。題目給了一個(gè)music.zip解壓后得到一個(gè)music.wav音頻文件。音頻隱寫是MISC的另一個(gè)大類。3.1 音頻隱寫的常見(jiàn)套路面對(duì)一個(gè)音頻文件我們的檢查清單如下聽(tīng)正常播放聽(tīng)內(nèi)容。這道題里就是一段普通的音樂(lè)沒(méi)有聽(tīng)出明顯的人聲讀Flag?？床ㄐ斡肁udacity、Sonic Visualiser等音頻編輯軟件打開(kāi)查看波形圖?？纯词欠裼挟惓５?、規(guī)律性的靜默段可能代表二進(jìn)制0和1?？搭l譜這是最關(guān)鍵的一步。在Audacity中選中全部音頻點(diǎn)擊“分析”菜單下的“頻譜圖”。頻譜圖能顯示不同頻率的聲音強(qiáng)度。隱寫信息經(jīng)常被編碼在某個(gè)特定的、人耳不易察覺(jué)的高頻或低頻段在頻譜圖上會(huì)顯示出明顯的條紋、二維碼或文字。檢查文件屬性用file、binwalk、strings查看是否藏了其他文件。嘗試LSB隱寫對(duì)于WAV格式可能存在最低有效位LSB隱寫?？梢允褂霉ぞ呷鐂teghide但需要密碼或stegolsb。3.2 使用Audacity進(jìn)行頻譜分析打開(kāi)Audacity導(dǎo)入music.wav。播放確認(rèn)無(wú)誤后將視圖切換為“頻譜圖”。縮放時(shí)間軸仔細(xì)查看。很快我就在音頻開(kāi)頭或結(jié)尾的某個(gè)位置通常是隱寫信息存放的地方發(fā)現(xiàn)頻譜圖中出現(xiàn)了一串莫爾斯電碼樣的點(diǎn)劃圖案在頻譜圖中一段持續(xù)的單一頻率線如果它時(shí)斷時(shí)續(xù)形成長(zhǎng)短不一的線段那么長(zhǎng)線段可以看作“劃”-短線段可以看作“點(diǎn)”.。這就是在音頻頻譜中隱藏摩斯密碼的常見(jiàn)方法。我們需要做的是在頻譜圖上找到那段有規(guī)律的點(diǎn)劃序列。按照時(shí)間順序記錄下每個(gè)符號(hào)是點(diǎn)還是劃。注意區(qū)分符號(hào)間隔和字符間隔。通常一個(gè)符號(hào)內(nèi)的點(diǎn)劃之間間隙很小而字符之間的間隙較大。將記錄下的摩斯密碼字符串再次進(jìn)行解碼。在這道題中頻譜圖里隱藏的摩斯密碼解碼后直接得到了一串可讀的英文很可能就是flag{xxxxxx}的格式。例如可能是FLAG{1S_TH1S_MU51C_B34UT1FUL}這樣的字符串。實(shí)操心得在Audacity看頻譜時(shí)調(diào)整“頻譜圖設(shè)置”里的“窗口大小”和“頻率范圍”非常重要。窗口大小影響時(shí)間分辨率頻率范圍則幫你聚焦到信息可能隱藏的頻段比如2kHz-8kHz。信息往往藏在人聲或主旋律覆蓋不到的頻段。3.3 另一種可能MP3Stego如果頻譜分析沒(méi)有結(jié)果另一個(gè)常見(jiàn)的音頻隱寫工具是MP3Stego。它可以將信息隱藏于MP3文件的比特流中。但本題給的是WAV所以可能性較低。不過(guò)如果題目給的是MP3且常規(guī)方法無(wú)效可以嘗試用MP3Stego解密有時(shí)需要空密碼或已知密碼。# 假設(shè)文件是mp3且懷疑用MP3Stego隱藏 decode.exe -X -P password hidden.mp3 # -X 指提取-P 指定密碼如果無(wú)密碼可嘗試空字符串或不使用-P參數(shù)對(duì)于本題“來(lái)首歌吧”通過(guò)Audacity頻譜圖找到摩斯密碼并解碼是標(biāo)準(zhǔn)且唯一的解法路徑。它鞏固了從“假如給我三天光明”中學(xué)到的摩斯密碼技能并引入了頻譜分析這一關(guān)鍵工具。4. “面具之下的flag”壓縮包套娃、偽加密與CRC碰撞這是三道題中最綜合、也最考驗(yàn)?zāi)托暮凸ぞ呤褂玫囊坏??！懊婢摺蓖ǔ０凳局[藏、偽裝在CTF里常指加密、偽加密或者文件本身有“兩層皮”。題目給了一個(gè)mask.zip。解壓時(shí)如果提示需要密碼那么第一步就是破解密碼。4.1 第一層偽加密判斷與破解Zip加密有兩種主要方式傳統(tǒng)ZipCrypto和AES-256。ZipCrypto存在漏洞而更常見(jiàn)的一種“假加密”叫做偽加密。偽加密是在Zip文件的目錄區(qū)設(shè)置一個(gè)加密標(biāo)記讓解壓軟件認(rèn)為文件被加密了從而索要密碼但實(shí)際上文件數(shù)據(jù)區(qū)并未加密。只要修改掉這個(gè)標(biāo)記就能直接解壓。如何判斷用zipinfo或7z l命令查看zipinfo mask.zip 或 7z l mask.zip如果輸出中文件屬性顯示-rwx------或類似并且有加密標(biāo)志但7z可能提示“Headers Error”或“Wrong password”偽加密的可能性就很大。使用binwalk分析binwalk -e mask.zip有時(shí)能直接暴力分離出未加密的數(shù)據(jù)。使用Zip偽加密修復(fù)工具如zipcenop在Kali中或在線修復(fù)網(wǎng)站。zipcenop.jar -r mask.zip這個(gè)命令會(huì)嘗試修復(fù)偽加密的Zip文件。十六進(jìn)制編輯器手動(dòng)修改這是最根本的方法。用010 Editor或WinHex打開(kāi)mask.zip找到文件頭中的加密標(biāo)記位。對(duì)于單個(gè)文件的Zip找到每個(gè)文件頭后的General purpose bit flag字段。如果它的第0位最低位被置為1通常表示加密。偽加密的關(guān)鍵在于不僅文件頭這里置1目錄區(qū)Central Directory里對(duì)應(yīng)文件的這個(gè)標(biāo)記位也被置1。真正的加密只需要目錄區(qū)標(biāo)記即可。我們通常修改目錄區(qū)的加密標(biāo)記。搜索50 4B 01 02目錄文件頭標(biāo)識(shí)找到后向后偏移第8個(gè)字節(jié)即General purpose bit flag。如果這個(gè)值是09 00二進(jìn)制00001001第0位和第3位為1第0位的1表示加密。將其改為00 00保存文件即可直接解壓。對(duì)于本題嘗試偽加密修復(fù)后很可能成功解壓得到一個(gè)flag.png或flag.jpg圖片文件。如果修復(fù)后仍需要密碼那就可能是真加密需要進(jìn)入密碼破解步驟。4.2 第二層圖片隱寫與CRC32碰撞假設(shè)我們解壓得到了flag.png。用圖片查看器打開(kāi)可能顯示一張普通圖片或者圖片損壞無(wú)法顯示。首先用file命令確認(rèn)文件類型用binwalk和strings做常規(guī)檢查。如果binwalk顯示flag.png后面附加了數(shù)據(jù)用dd分離dd ifflag.png ofextracted.zip bs1 skipPNG文件長(zhǎng)度這里的關(guān)鍵是確定PNG文件的真實(shí)長(zhǎng)度。PNG文件以89 50 4E 47 0D 0A 1A 0A開(kāi)頭以49 45 4E 44 AE 42 60 82結(jié)束。你可以用十六進(jìn)制編輯器找到IEND塊的位置其后就是附加數(shù)據(jù)。分離出的extracted.zip可能又是一個(gè)需要密碼的壓縮包。此時(shí)一個(gè)強(qiáng)大的技巧登場(chǎng)CRC32碰撞。在Zip文件中每個(gè)被壓縮的文件都有一個(gè)CRC32校驗(yàn)值。如果Zip里包含一個(gè)非常小的文件比如幾個(gè)字節(jié)的txt那么我們可以通過(guò)已知的CRC32值反推出這個(gè)文件原本的內(nèi)容而無(wú)需密碼。步驟用zipinfo -v mask.zip或7z l -slt mask.zip查看壓縮包內(nèi)文件的CRC32值、壓縮大小和未壓縮大小。重點(diǎn)關(guān)注未壓縮大小很小的文件比如4-8字節(jié)。Path flag.txt Folder - Size 6 Packed Size 15 Modified 2023-xx-xx xx:xx:xx CRC 1B8B7B52如果發(fā)現(xiàn)這樣的小文件并且我們猜它可能就是Flag如flag.txt那么就可以進(jìn)行CRC32碰撞。我們已知CRC32值是1B8B7B52文件長(zhǎng)度是6字節(jié)。我們需要枚舉所有可能的6字節(jié)字符串包括可見(jiàn)字符計(jì)算其CRC32直到匹配。使用工具進(jìn)行碰撞。Python的zlib庫(kù)可以計(jì)算CRC32但暴力枚舉所有6字節(jié)組合256^6種可能是天文數(shù)字。我們需要縮小范圍。通常Flag由可打印字符字母、數(shù)字、括號(hào)、下劃線組成。假設(shè)字符集為[a-zA-Z0-9_{}]大約70個(gè)字符70^6約117億種仍然很大但比256^6小得多?？梢杂肎PU加速或優(yōu)化算法。更簡(jiǎn)單的方法是使用現(xiàn)成工具如pkcrack需要部分明文攻擊或?qū)ｉT的CRC32碰撞腳本。在CTF中有時(shí)題目設(shè)計(jì)的就是一個(gè)4-6位的純數(shù)字或簡(jiǎn)單字母密碼碰撞起來(lái)很快。假設(shè)我們通過(guò)CRC32碰撞得到了flag.txt的內(nèi)容是password: 123456。那么這個(gè)123456很可能就是下一層壓縮包extracted.zip的密碼。4.3 第三層解壓與最終獲取用破解出的密碼123456解壓extracted.zip最終得到一個(gè)文本文件或一張圖片里面包含著真正的Flagflag{xxxx-xxxx-xxxx}。這道題的完整鏈條可能是偽加密Zip - 內(nèi)含圖片 - 圖片附加Zip - 內(nèi)層Zip包含小文本文件 - CRC32碰撞得到密碼 - 解壓內(nèi)層Zip得到Flag。踩坑實(shí)錄在操作dd命令分離附加數(shù)據(jù)時(shí)skip參數(shù)的單位是bs塊大小的倍數(shù)。如果bs1skipN就是跳過(guò)前N個(gè)字節(jié)。這里N必須是PNG文件的實(shí)際長(zhǎng)度而不是整個(gè)文件的大小。計(jì)算錯(cuò)誤會(huì)導(dǎo)致分離出的Zip文件損壞無(wú)法打開(kāi)。最穩(wěn)妥的方法是使用foremost或binwalk -e自動(dòng)分離。5. MISC通用工具箱與排查心法通過(guò)這三道題我們可以總結(jié)出一套應(yīng)對(duì)MISC題目的通用方法和工具鏈。5.1 必備工具清單文件分析file識(shí)別文件真實(shí)類型。binwalk分析文件內(nèi)嵌數(shù)據(jù)自動(dòng)分離。strings提取文件中的所有可打印字符串。hexdump/xxd以十六進(jìn)制查看文件手動(dòng)分析文件頭尾。exiftool查看和修改圖片、音頻等文件的元數(shù)據(jù)Exif信息Flag有時(shí)就藏在相機(jī)型號(hào)、GPS坐標(biāo)里。圖片隱寫steghide經(jīng)典的LSB隱寫工具用于JPEG等格式。需要密碼有時(shí)是空密碼或文件名。zsteg專門檢測(cè)PNG和BMP格式中的LSB隱寫。outguess另一種隱寫工具。stegsolveJava編寫的圖片通道分析神器可以逐位查看RGB各個(gè)通道進(jìn)行幀切換、色彩轉(zhuǎn)換發(fā)現(xiàn)隱藏的二維碼或文字。在線工具如aperisolve.com集成了多種分析功能。音頻隱寫Audacity開(kāi)源音頻編輯器頻譜分析功能至關(guān)重要。Sonic Visualiser更專業(yè)的音頻分析軟件可加載各種頻譜分析插件。MP3Stego針對(duì)MP3文件的隱寫工具。壓縮包處理7z/unzip基礎(chǔ)解壓。zipinfo查看Zip包詳細(xì)信息特別是加密狀態(tài)、CRC32。fcrackzipZip密碼字典破解。John the Ripper強(qiáng)大的密碼破解工具支持多種格式。zipcenop.jarZip偽加密修復(fù)工具。bkcrack已知明文攻擊工具適用于ZipCrypto加密。編碼解碼CyberChef瑞士軍刀般的在線編解碼、加解密、數(shù)據(jù)分析平臺(tái)。支持Base64、Hex、ROT13、摩斯密碼、盲文等上百種操作。dcode.fr另一個(gè)功能強(qiáng)大的在線密碼學(xué)工具網(wǎng)站。Python自己寫腳本處理自定義編碼或批量操作。5.2 四步排查心法遇到一個(gè)未知文件按照以下四步走可以解決大部分MISC題第一步驗(yàn)明正身。用file、binwalk、hexdump看文件頭確認(rèn)它到底是什么有沒(méi)有多個(gè)文件拼接。如果是壓縮包先看是不是偽加密。第二步表面搜查。用strings、exiftool找明文信息如果是圖片用stegsolve過(guò)一遍所有顏色通道和位平面如果是音頻用Audacity看頻譜圖如果是文檔PDF、Word看屬性或者用pdf-parser等工具分析。第三步深入挖掘。如果表面沒(méi)有考慮隱寫。圖片嘗試steghide用空密碼、文件名、flag等常見(jiàn)密碼試檢查文件末尾是否附加了其他文件用dd分離嘗試各種編碼Base64、Hex、URL編碼、Brainfuck等解碼strings找到的奇怪字符串。第四步腦洞與聯(lián)想。結(jié)合題目名字、描述、文件名、字符串中的提示詞猜測(cè)可能的密碼或編碼方式。題目名往往是關(guān)鍵提示如“三思而后行”可能指“三思”“3s”Base64“面具”偽加密“聽(tīng)”音頻頻譜。5.3 常見(jiàn)編碼與密碼特征速查Base64結(jié)尾常有或字符集為A-Za-z0-9/。Hex十六進(jìn)制僅包含0-9a-fA-F長(zhǎng)度通常為偶數(shù)。摩斯密碼由.、-、/和空格組成。盲文視覺(jué)上是規(guī)則的點(diǎn)陣圖案2x3。豬圈密碼用格子或圖形代替字母。鍵盤移位密碼如qwerty-asdfgh。AAencode/JJencode將JS代碼編碼成顏文字或只有[]()!的字符串。最后保持耐心和細(xì)致。MISC題有時(shí)候就是“靈光一現(xiàn)”但這一現(xiàn)的基礎(chǔ)是扎實(shí)的常規(guī)檢查。每做一道題就把它用到的新工具、新思路加入你的工具箱。像這次從盲文到摩斯從頻譜分析到CRC碰撞一套組合拳下來(lái)你對(duì)MISC的理解又會(huì)深一層。真正的熟練是把這些檢查步驟變成肌肉記憶看到文件手上就知道該按什么順序操作了。