取证隐写
取证隐写
bytearray字节数组
将文件以二进制数组的形式读取
data = bytearray(open('test.png','rb').read())
图片分析
图像分析设计到文件复杂的格式，以及涉及到元数据，信息丢失和无损压缩，校验，隐写或者可视化数据编码的分析解密
元数据
描述数据的数据，主要是描述数据属性的信息，通常隐藏一些hint，password
右键属性，strings命令都可以查看到隐藏信息（文件头或者文件尾）
identify 命令
获取一个或多个图像文件的格式和特性
identify -verbose test.png //查看图片的详细信息
-format指定显示的信息
identify -format “%wx%h” image.jpg //只查看图片的宽高 以像素为单位
像素值转化
给了一串
255,255,255,255,255...........
是RGB，将其转化成图片
from PIL import Image
import re
x = 307 #x坐标 通过对txt里的行数进行整数分解
y = 311 #y坐标 x*y = 行数
rgb1 = [****]
print len(rgb1)/3
m=0
for i in xrange(0,x):
for j in xrange(0,y):
line = rgb1[(3*m):(3*(m+1))]#获取一行
m+=1
rgb = line
im.putpixel((i,j),(int(rgb[0]),int(rgb[1]),int(rgb[2])))#rgb转化为像素
im.show()
im.save("flag.png")
PNG
文件头
| 文件类型 | 文件头 | 文件尾 | 特征 |
|---|---|---|---|
| PNG (png) | 89 50 4E 47 | AE 42 60 82 | .PNG... |
文件头+关键数据块+辅助数据块
png文件的每个数据块由4个部分组成:
Length（长度），Chunk Type Code（数据块类型码），Chunk Data（数据块数据），CRC（循环冗余检测）
文件头数据块IHDR的前8个字节，课通过010来修改宽高
JPG
- JPEG 是有损压缩格式，将像素信息用 JPEG 保存成文件再读取出来，其中某些像素值会有少许变化。在保存时有个质量参数可在 0 至 100 之间选择，参数越大图片就越保真，但图片的体积也就越大。一般情况下选择 70 或 80 就足够了
- JPEG 没有透明度信息
0xffd8 和 0xffd9为 JPG 文件的开始结束的标志
文件头
| 文件类型 | 文件头 | 文件尾 | 特征 |
|---|---|---|---|
| JPEG (jpg) | FFD8FF | ÿØÿà |
GIF
文件头
| 文件类型 | 文件头 | 文件尾 | 特征 |
|---|---|---|---|
| GIF (gif) | 47494638 | 00 3B | GIF89a |
空间轴
gif 动态图片，是由一帧帧图片构成，是多帧图片的结合，所以每帧图片都有可能隐藏着信息
convert命令
将每一帧分割开
$ convert cake.gif cake.png
$ ls
cake-0.png cake-1.png cake-2.png cake-3.png cake.gif
时间轴
gif 文件的每一帧时间的间隔 也可能隐藏着信息
可以用 identify 命令清晰的打印出每一帧的时间间隔
identify -format "%s %T \n" test.gif
最后转 ASCII 码得到 flag
音频隐写
MP3隐写，LSB隐写，波形隐写，频谱隐写等
MP3隐写
Mp3Stego工具
encode -E hidden_text.txt -P pass svega.wav svega_stego.mp3
decode -X -P pass svega_stego.mp3
波形隐写
就是观察波形的规律将其进一步转化成01字符串
频谱
音频中的频谱隐写是将字符串隐藏在频谱中，此类音频通常会有一个较明显的特征，听起来是一段杂音或者比较刺耳。
LSB 音频隐写
silenteye工具
