ctfshow刷题-MISC入门_bpg后缀

。知识

1.1 bpg后缀的文件如何打开

bpgviewer

。参考

ctfshow-Misc入门

CTFShow-MISC入门篇详细wp(1-56)

MISC入门篇（8-…更新，在学习中做记录，很多内容是从网上的很多师傅那里看到的)

。例题

。图片篇(基础操作)

misc1

打开文件即得flag

misc2

开头发现是PNG的格式直接改后缀png 即可得到flag。

misc3

bpg这都是什么远古图片呀~
全网就一个软件能打开它（bpgviewer）
打开即可获得flag

misc4

下载下来有6个txt文件 分别是6个文件 可以通过文件头 来判断文件的类型：

JPEG (jpg) 文件头：FF D8 FF  文件尾：FF D9

PNG (png)，文件头：89504E47

Windows Bitmap (bmp)， 文件头：424D 文件尾：

GIF (gif)，文件头：47494638

XML (xml)，文件头：3C3F786D6C

HTML (html)，文件头：68746D6C3E

MS Word/Excel (xls.or.doc)，文件头：D0CF11E0

MS Access (mdb)，文件头：5374616E64617264204A

Adobe Acrobat (pdf)，文件头：255044462D312E

Windows Password (pwl)，文件头：E3828596

ZIP Archive (zip)，文件头：504B0304

RAR Archive (rar)，文件头：52617221

Wave (wav)，文件头：57415645

AVI (avi)，文件头：41564920

TIFF (tif)， 文件头：49492A00 文件尾：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

六张图片拼接起来就是flag：ctfshow{4314e2b15ad9a960e7d9d8fc2ff902da}

---

---

最后一个上面没有对应的，可以从开头字段看出来

---

。图片篇(信息附加)

misc5

用010editor打开，虽然有报错，但不用理会
然后全局搜索ctfshow{,在文章末尾可以找到flag

misc6

用010editor打开
然后全局搜索ctfshow{

misc7

flag在图片文件信息中。

用010editor打开
然后全局搜索ctfshow{

misc8

flag在图片文件中图片文件中。

binwalk -B misc.png//查看
binwalk -e misc.png --run-as=root//分离

foremost -i misc.png//分离

//binwalk搞不定就用foremost
1
2
3
4
5
6

用binwalk看看

发现里面有两张png图片，使用foremost分离

在默认的outfile文件夹中会存有分离出来的两张照片

其中右边就是正确的flag

misc9

flag在图片块里。

直接放010editor里面搜ctfshow{

misc10

flag在图片数据里。

放到binwalk里看一下

binwalk -B misc10.png//查看
binwalk -e misc10.png//分离

发现里面存在隐藏的压缩文件，其中的10E5文件打开就是flag

misc11

flag在另一张图里。

使用tweakpng打开，长宽正常，但第一个IDAT块小于第二个IDAT块的长度，这意味着在第一个数据块还没铺满时第二个数据块就开始铺了，人为改动的痕迹明显。

正常该有的样子

点击第一个IDAT块，选择delete，然后按f7预览修改之后的图片，得到flag

misc12

flag在另一张图里。

使用tweakpng打开，发现这样的情况

IDAT块并没有均匀地逐块铺满，人为改动痕迹明显

按f7键打开图片预览窗口，从第二个开始逐块删除IDAT块，直到出现flag

删掉前八个，lks不能预览到图片，会报错

lks选择保存后查看

misc13

flag位置在图片末尾。

打开010editor查看图片，在结尾处发现了一串很奇怪的东西，看着像flag又不完全是

仔细观察可以发现在正常的flag格式ctfshow{xxx}基础上给每个字符中间加了一个字符，这里简单写一下脚本得到正确的flag

这里得到的flag是ctfshow{ae6e46c48f739b7eb2d1de6e412f839a}

但是尝试输入之后发现是错误的，之后去找网上正确的解答，发现不应该去解ASCLL码，而是要拿左边的十六进制数去解，每隔一个十六进制数取一个，取左边的蓝色部分

正确脚本：

a = "631A74B96685738668AA6F4B77B07B216114655336A5655433346578612534DD38EF66AB35103195381F628237BA6545347C3254647E373A64E465F136FA66F5341E3107321D665438F1333239E9616C7D"
r = ''
s = bytes.fromhex(a)  #将十六进制字符串 a 转换为一个字节对象。每两个十六进制数字被转换为一个字节。
for i in range(0, len(s), 2):
    r += chr(s[i])  #将每个字节转换为对应的 ASCII 字符
print(r)
1
2
3
4
5
6

​
最后得到的flag是：ctfshow{ae6e3ea48f518b7e42d7de6f412f839a}

misc14

flag在那张图里。

放到binwalk里看一下，发现里面有隐藏的文件

然后使用dd命令提取出其中的图片（if是输入文件名称，of是输出文件名称，skip是偏移量，就是你要提取的文件的最前面的数字，bs=1）

misc15

flag被跳过去了。

直接文本编辑器打开 搜索 ctfshow{ 即可 得到flag

misc16

flag在图片数据里。

binwalk -e misc16

用binwalk查看一下文件，直接分离出来一个文件夹，其中dd4就是flag

misc17

flag在图片数据里。

用binwalk看了一下图片，发现有一个压缩包，但是打不开

这里需要使用zsteg分析，发现有隐藏信息

所以我们先使用zsteg命令把隐藏信息分离出来，再用binwalk分离得到flag

zsteg -e extradata:0 misc17.png > a.txt

binwalk -e a.txt
1
2
3

得到文件后，发现文件头有png，判断需将文件后缀改为.png

得到flag

misc18

flag在标题、作者、照相机和镜头型号里。

题目给的提示，很明显，flag藏在属性里

misc19

flag在主机上的文档名里。

联想到图片的exif信息

EXIF是专门为数码相机的照片设定的，可以记录数码照片的属性信息和拍摄数据。主机和文档名都属于exif信息的一部分，

这里使用图虫的exif信息查看器，直接将图片导入，找到主机和文档名记录的flag

misc20

flag在评论里。

与上一题一样，flag都是藏在EXIF信息中，做法同上，得到flag，只不过需要自己转化一下

谐音

misc21

flag在序号里。

与上一题一样，flag都是藏在EXIF信息中

---

hex后发现hex(X&Ys)；也就是还需要X分辨率、Y分辨率、X定位、Y定位

最后将那四组数据分别由十进制转成16进制拼接并套上ctfshow{}得到flag：ctfshow{e8a221498d5c073b4084eb51b1a1686d}

misc22

flag在图片里。

考点：
缩略图
疑点：

---

看到黄黄的字体
打开照片后就消失了

这里要使用一个新工具：MagicEXIF 直接打开即可看到flag。

然后截图不断放大

misc23

flag在时间里。

使用工具 exiftool + 图片名称

exiftool misc23.psd
1

使用在线时间戳转换：https://tool.lu/timestamp/，一共有四段

874865822 2699237688 2156662245 460377706  #全部转为16进制
1

misc41

（本题为Misc入门图片篇和愚人节比赛特别联动题）
H4ppy Apr1l F001’s D4y！
愚人节到了，一群笨蛋往南飞，一会儿排成S字，一会儿排成B字。