CTF杂项逆向分析：从乱码图片中提取Flag的系统化方法

2026/8/9 1:02:13
CTF杂项逆向分析：从乱码图片中提取Flag的系统化方法
1. 项目概述当一张图片不再是一张图片最近在整理一场CTF Misc杂项赛题的解题记录遇到一个让我印象深刻的题目。题目只给了一张看起来完全正常的图片文件但用任何看图软件打开显示的都是一片混乱的色块和噪点或者干脆提示文件损坏。文件本身不大后缀也是常见的.png或.jpg但内容却是一团“乱码”。这种题目的核心挑战在于你需要意识到这张“图片”可能根本不是一张图片或者说它作为图片的表象之下隐藏着完全不同的数据结构。出题人正是利用了我们对文件格式的刻板印象将真正的Flag信息通过某种方式“藏”在了图片数据里。这道题考察的不仅仅是脑洞更是对文件格式、数据编码和编程工具尤其是Python的PIL/Pillow和OpenCV库的扎实理解。你需要像一个法证专家一样对这份“数字证据”进行层层剥离从文件头、数据块、像素值等多个维度进行分析才能最终让Flag重见天日。整个过程不需要复杂的逆向工程工具关键在于思路和对数据的敏感度。下面我就结合这道具体的题目完整复盘从拿到乱码图片到最终提取Flag的每一步思考与操作重点会放在如何用Python和OpenCV进行系统性的逆向分析。2. 核心思路拆解逆向分析的四层递进策略面对一张乱码图片漫无目的地尝试各种Steganography隐写术工具是低效的。一个系统化的逆向分析策略至关重要。我的思路通常是自底向上从文件本身到其承载的信息分为四个层次进行探查。2.1 第一层文件本身分析Hex视角在考虑任何“图片内容”之前首先要把它当作一个纯粹的二进制文件。这一步的目标是确认它的真实格式和结构完整性。操作与工具使用file命令在Linux/Mac终端或Git Bash中对文件运行file challenge.png。这个命令通过读取文件的魔术字节Magic Bytes来识别其真实类型。一个常见的陷阱是文件可能被错误地命名了扩展名。例如一个实际是ZIP压缩包的文件被重命名为.png。file命令会告诉你它的真实身份。使用Hex编辑器用xxd,hexdump或010 Editor等工具查看文件头部和尾部的原始十六进制数据。对于PNG文件开头必须是89 50 4E 47 0D 0A 1A 0A对应ASCII字符.PNG....结尾应该有IEND块。对于JPEG开头是FF D8 FF。如果这些签名不对文件很可能被修改过。检查文件大小对比该文件与同分辨率正常图片的大小。如果异常小可能只是容器如果异常大可能附加了其他数据。实战心得有一次遇到一个“图片”file命令显示为data即无法识别。用hexdump查看发现开头是50 4B 03 04这是ZIP文件的签名。直接将其重命名为.zip并解压里面就藏着flag.txt。所以永远不要相信文件扩展名。2.2 第二层格式解析与数据提取结构视角如果文件格式正确但内容显示乱码问题可能出在图片的数据块或编码上。这一步我们要深入图片格式的内部结构。针对PNG的分析 PNG文件由一系列称为“块”Chunk的数据段组成。关键块有IHDR包含宽、高、位深、颜色类型等关键信息。IDAT存储压缩后的图像像素数据。IEND文件结束标志。我们可以使用Python的struct模块或现成的库如pypng来解析这些块。import struct def parse_png_chunks(file_path): with open(file_path, rb) as f: # 跳过PNG签名 (8 bytes) signature f.read(8) if signature ! b\x89PNG\r\n\x1a\n: print(Not a valid PNG file!) return while True: # 读取块长度 (4 bytes, 大端序) chunk_len_data f.read(4) if not chunk_len_data: break chunk_len struct.unpack(I, chunk_len_data)[0] # 表示大端序I表示4字节无符号整数 # 读取块类型 (4 bytes) chunk_type f.read(4).decode(ascii) # 读取块数据 chunk_data f.read(chunk_len) # 读取CRC校验码 (4 bytes) crc f.read(4) print(fChunk Type: {chunk_type}, Length: {chunk_len}) # 特别关注非标准块或异常的IDAT块 if chunk_type not in [IHDR, PLTE, IDAT, IEND, tEXt, zTXt, iTXt]: print(f - 发现非标准块: {chunk_type}可能藏有数据) # 可以在这里将chunk_data dump出来分析 if chunk_type IEND: break如果发现非标准的块类型如stEgfLaG等自定义块或者IDAT块的数据异常庞大这里可能就是隐藏数据的所在。针对JPEG的分析 JPEG由一系列以FF开头的标记段Marker组成。我们可以检查是否有注释段FF FE COM段其中可能藏有文本信息。同样也可以检查是否存在多余的、不属于标准JPEG结构的APPn段。2.3 第三层像素级操作OpenCV/NumPy视角当文件结构正常但显示异常时问题可能出在像素数据本身。Flag信息可能被编码在像素值的最低有效位LSB、颜色通道的排列或图像的某个特定区域。核心操作使用OpenCV读取图片cv2.imread()会以NumPy数组的形式加载图像数据。这个数组是分析的基础。检查图像形状和通道img.shape返回高度 宽度 通道数。一个显示为彩色的乱码图可能实际上只有一个通道或者通道顺序被故意打乱如BGR和RGB互换。分离颜色通道b, g, r cv2.split(img)。分别查看R、G、B三个通道的灰度图有时Flag只存在于某一个通道中。最低有效位LSB分析这是最常见的隐写方法之一。原理是将秘密信息的二进制位替换掉每个像素值0-255最后一个或几个最不重要的二进制位。因为改动很小人眼难以察觉。import cv2 import numpy as np def lsb_extract(img): # 获取所有像素的最低有效位 lsb_plane img 1 # 将位平面转换为0-255的灰度值便于查看 lsb_plane lsb_plane * 255 return lsb_plane img cv2.imread(challenge.png) # 对每个通道进行LSB提取 for i, channel_name in enumerate([Blue, Green, Red]): lsb lsb_extract(img[:, :, i]) cv2.imwrite(flsb_{channel_name}.png, lsb) # 也可以尝试将LSB位平面重新组合成字节流 flat_bits (img[:, :, i].flatten() 1).tolist() # 将比特流每8位一组转换为字节 byte_array bytearray() for j in range(0, len(flat_bits), 8): byte 0 for k in range(8): if jk len(flat_bits): byte | (flat_bits[jk] (7-k)) # 注意比特顺序 byte_array.append(byte) # 尝试将字节流解码为字符串 try: text byte_array.decode(utf-8) if flag in text.lower() or { in text: print(f在{channel_name}通道LSB中发现可疑文本: {text[:100]}...) except: pass检查Alpha通道如果图片是PNG-32带透明度隐藏信息可能在Alpha通道透明度值中。2.4 第四层频域与变换域分析高阶视角如果空域像素值分析无果信息可能被编码在频域中例如通过修改离散余弦变换DCT系数JPEG常用或离散傅里叶变换DFT系数。这需要更专业的图像处理知识。简易DCT系数探查思路针对JPEG 虽然JPEG压缩过程复杂但我们可以用OpenCV进行一个简化的模拟分析查看DCT域是否有异常。import cv2 import numpy as np from matplotlib import pyplot as plt img cv2.imread(challenge.jpg, cv2.IMREAD_GRAYSCALE) # 将图像分割成8x8的块JPEG标准 h, w img.shape # 确保尺寸是8的倍数 h h - h % 8 w w - w % 8 img img[:h, :w] # 对每个8x8块进行DCT变换 dct_blocks [] for i in range(0, h, 8): for j in range(0, w, 8): block img[i:i8, j:j8].astype(np.float32) dct_block cv2.dct(block) # 执行DCT dct_blocks.append(dct_block) # 分析DCT系数例如查看所有块中高频分量右下角的统计特性 high_freq_coeffs [] for block in dct_blocks: # 取右下角2x2区域作为高频代表简化处理 high_freq block[-2:, -2:].flatten() high_freq_coeffs.extend(high_freq) # 绘制高频系数的直方图 plt.hist(high_freq_coeffs, bins50) plt.title(Histogram of High-Frequency DCT Coefficients) plt.show() # 如果直方图出现不自然的双峰或特定分布可能被嵌入了信息。这个层次的分析通常用于解决更专业的CTF题目需要结合对JPEG压缩标准的深入理解。3. 实战过程从乱码到Flag的完整操作流现在我们假设拿到一个名为mystery.png的文件它显示为乱码。我们将按照上述四层策略一步步操作。3.1 第一步基础文件检查首先在终端执行file mystery.png输出可能是mystery.png: PNG image data, 800 x 600, 8-bit/color RGB, non-interlaced- 格式正确进入下一步。mystery.png: data- 格式无法识别需用hex编辑器。mystery.png: Zip archive data- 直接解压mystery.png: ASCII text- 直接用文本编辑器打开。假设我们得到结果1确认它是一个PNG文件。3.2 第二步使用Python脚本进行自动化初步筛查编写一个脚本一次性完成多项基础检查。import struct import zlib import binascii import cv2 import numpy as np from PIL import Image def basic_investigation(file_path): print(f[*] 分析文件: {file_path}) # 1. 读取原始字节 with open(file_path, rb) as f: data f.read() print(f[*] 文件大小: {len(data)} 字节) # 2. 检查文件头 png_header b\x89PNG\r\n\x1a\n jpeg_header b\xff\xd8\xff if data.startswith(png_header): print([] 文件头: 有效的PNG签名) file_type png elif data.startswith(jpeg_header): print([] 文件头: 有效的JPEG签名) file_type jpeg else: print([-] 文件头: 无法识别或已损坏) # 尝试打印前16字节 print(f 前16字节: {binascii.hexlify(data[:16])}) return # 3. 尝试用PIL/Pillow打开 try: img_pil Image.open(file_path) print(f[] PIL成功加载图像。格式: {img_pil.format}, 模式: {img_pil.mode}, 尺寸: {img_pil.size}) # 检查是否有非标准信息 info img_pil.info if info: print(f[*] 图像信息字典: {info}) for key in info: if key not in [dpi, gamma, parsed]: # 过滤常见标准键 print(f - 发现非常规信息: {key} {info[key]}) except Exception as e: print(f[-] PIL无法打开图像: {e}) # 4. 尝试用OpenCV打开 try: img_cv cv2.imread(file_path, cv2.IMREAD_UNCHANGED) # 保留Alpha通道 if img_cv is None: print([-] OpenCV无法读取图像返回None) else: print(f[] OpenCV成功加载图像。形状: {img_cv.shape}, 数据类型: {img_cv.dtype}) # 显示各通道的基本统计信息 if len(img_cv.shape) 3: channels [Blue, Green, Red] if img_cv.shape[2] 4: channels.append(Alpha) for i in range(img_cv.shape[2]): chan img_cv[:, :, i] print(f {channels[i]}通道 - 最小值: {chan.min()}, 最大值: {chan.max()}, 均值: {chan.mean():.2f}) else: print(f 单通道 - 最小值: {img_cv.min()}, 最大值: {img_cv.max()}, 均值: {img_cv.mean():.2f}) except Exception as e: print(f[-] OpenCV读取异常: {e}) # 5. 如果是PNG解析块结构 if file_type png: print(\n[*] 开始解析PNG块结构...) offset 8 # 跳过PNG签名 while offset len(data): # 读取块长度 (4字节大端序) if offset 4 len(data): break chunk_len struct.unpack(I, data[offset:offset4])[0] offset 4 # 读取块类型 (4字节) if offset 4 len(data): break chunk_type data[offset:offset4].decode(ascii, errorsignore) offset 4 # 读取块数据 if offset chunk_len len(data): break chunk_data data[offset:offsetchunk_len] offset chunk_len # 读取CRC (4字节) if offset 4 len(data): break crc data[offset:offset4] offset 4 print(f 块类型: {chunk_type} 长度: {chunk_len}) # 特别关注点 if chunk_type IDAT: print(f - IDAT块压缩后数据大小: {chunk_len}) # 可以尝试解压IDAT数据看看原始像素数据可选较复杂 try: # PNG IDAT数据是zlib压缩的 decompressed zlib.decompress(chunk_data) print(f - IDAT解压后大小: {len(decompressed)} 字节) # 简单检查解压数据的前后部分 print(f - 解压数据头16字节: {binascii.hexlify(decompressed[:16])}) print(f - 解压数据尾16字节: {binascii.hexlify(decompressed[-16:])}) except Exception as e: print(f - 解压IDAT数据失败: {e}) elif chunk_type not in [IHDR, PLTE, IEND, tEXt, zTXt, iTXt, tRNS, gAMA, cHRM, sRGB, iCCP, pHYs]: print(f *** 发现非标准/可疑块: {chunk_type}) # 将可疑块数据保存到文件以供进一步分析 with open(fchunk_{chunk_type}.bin, wb) as f: f.write(chunk_data) print(f *** 已将该块数据保存为 chunk_{chunk_type}.bin) if chunk_type IEND: break if __name__ __main__: basic_investigation(mystery.png)运行这个脚本我们可以快速获得文件的全面概况。假设脚本输出中发现了非标准块stEg并已将其数据保存为chunk_stEg.bin。3.3 第三步深入分析可疑数据块现在我们检查这个chunk_stEg.bin文件。file chunk_stEg.bin head -c 100 chunk_stEg.bin | xxd如果file命令显示它是文本或数据我们可以尝试用多种方式解读with open(chunk_stEg.bin, rb) as f: data f.read() # 尝试作为文本解码 try: text data.decode(utf-8) print(作为UTF-8文本:) print(text[:500]) except: pass try: text data.decode(ascii, errorsignore) print(\n作为ASCII文本忽略错误:) print(text[:500]) except: pass # 尝试Base64解码如果看起来像Base64 import base64 if len(data) % 4 0 and all(c in bABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789/ for c in data): try: decoded base64.b64decode(data) print(f\nBase64解码后 ({len(decoded)} 字节):) # 尝试将解码后的数据再次作为文本 try: print(decoded.decode(utf-8)) except: print(binascii.hexlify(decoded[:100])) except: pass # 直接查看Hex寻找flag常见模式 hex_str binascii.hexlify(data).decode() # 搜索 666c6167 即 flag 的hex if 666c6167 in hex_str: print(\n[!] 在Hex数据中发现 flag (666c6167) 的序列) idx hex_str.find(666c6167) # 尝试提取前后一段数据作为字符串 context_start max(0, idx - 40) context_end min(len(hex_str), idx 40) context_hex hex_str[context_start:context_end] # 每两个字符转换成一个字节 try: context_bytes bytes.fromhex(context_hex) print(f上下文: {context_bytes}) except: print(f上下文Hex: {context_hex})假设我们在chunk_stEg.bin的Hex表示中发现了666c61677b即flag{那么恭喜Flag很可能就藏在这里。我们可能需要根据上下文调整提取的范围直到找到完整的flag{...}格式字符串。3.4 第四步像素级分析与LSB隐写提取如果文件结构没有发现异常我们就需要深入像素层。假设用OpenCV读取的图像img形状是(600, 800, 3)。操作1分离通道并保存img cv2.imread(mystery.png) b, g, r cv2.split(img) cv2.imwrite(channel_blue.png, b) cv2.imwrite(channel_green.png, g) cv2.imwrite(channel_red.png, r)分别打开这三个灰度图观察是否有某个通道显示出异常的图案或文字。操作2执行LSB提取并可视化使用前面章节提供的lsb_extract函数生成每个通道的LSB平面图。用图片查看器打开lsb_Red.png等文件如果LSB中隐藏了二值图像如二维码、文字在这里会清晰显示出来。操作3进阶LSB-RGB组合分析有时信息可能分布在多个通道的LSB中。例如用R通道的LSB作为红色分量G通道的LSB作为绿色分量B通道的LSB作为蓝色分量合成一张新的彩色图。# 获取各通道的LSB (值为0或1) lsb_r (r 1).astype(np.uint8) lsb_g (g 1).astype(np.uint8) lsb_b (b 1).astype(np.uint8) # 将LSB放大到0-255范围以便显示 lsb_r_vis lsb_r * 255 lsb_g_vis lsb_g * 255 lsb_b_vis lsb_b * 255 # 组合成彩色LSB图像 lsb_color cv2.merge([lsb_b_vis, lsb_g_vis, lsb_r_vis]) # OpenCV是BGR顺序 cv2.imwrite(lsb_color_composite.png, lsb_color)查看lsb_color_composite.png可能会发现隐藏的彩色图像。操作4位平面切片除了最低有效位bit 0还可以检查其他位平面bit 1, bit 2, ...。def extract_bit_plane(img, bit_pos): 提取指定位平面 (0为最低位) return ((img bit_pos) 1) * 255 for bit in range(8): plane_b extract_bit_plane(b, bit) cv2.imwrite(fbitplane_{bit}_blue.png, plane_b) # 同样处理G和R通道有时信息会藏在较高的位平面如bit 4或bit 7因为修改这些位对原图视觉效果影响较大出题人可能利用这一点来反套路。3.5 第五步尝试格式转换与容错解析有时乱码是因为图片文件在某个字节处被故意损坏但图片库的容错机制仍能部分解析。我们可以尝试用不同的参数或库重新解析。使用PIL并忽略错误from PIL import ImageFile ImageFile.LOAD_TRUNCATED_IMAGES True # 允许加载被截断的图片 try: img Image.open(mystery.png) img.load() # 强制加载所有数据 print(f强制加载后模式: {img.mode}, 尺寸: {img.size}) # 尝试转换为RGB并保存看是否能“修复”显示 if img.mode ! RGB: img img.convert(RGB) img.save(recovered_with_pil.jpg) except Exception as e: print(fPIL强制加载失败: {e})使用OpenCV的不同标志# 尝试以灰度图读取 img_gray cv2.imread(mystery.png, cv2.IMREAD_GRAYSCALE) # 尝试忽略颜色配置文件 img_unchanged cv2.imread(mystery.png, cv2.IMREAD_UNCHANGED) # 尝试任何格式 img_anycolor cv2.imread(mystery.png, cv2.IMREAD_ANYCOLOR)不同的读取方式可能会得到不同的数据数组有时隐藏的信息就在这些差异中。4. 常见问题与排查技巧实录在实际解题和教学过程中我遇到了各种各样的问题。这里总结了一份“避坑指南”。4.1 问题一脚本运行无误但提取出的数据毫无规律像随机噪声可能原因及排查LSB提取的比特顺序错误计算机数据有大小端序像素比特流转换成字节时比特的顺序是最高位在先还是最低位在先至关重要。我常用的正确转换方法是# 假设 bits 是一个包含0/1的列表 bits [1,0,1,1,0,0,1,0] # 例如 byte 0 for i in range(8): byte (byte 1) | bits[i] # 左移先来的bit放在高位 # 或者如果出题人用的是相反顺序低位在先 # for i in range(8): # byte | (bits[i] i)如果一种顺序解不出务必尝试另一种。信息被加密或编码提取出的字节流可能是经过加密如XOR AES或编码如Base64 Hex的。观察字节流如果全是可打印ASCII字符可能是Base64或直接是文本。如果字节值范围在0-9a-f可能是Hex编码的字符串。如果分布均匀像随机数可能被XOR了一个密钥。可以尝试用flag或FLAG的已知明文进行XOR推算密钥。使用了错误的颜色通道或通道组合尝试只提取R通道或只提取G通道或B通道或三者按不同权重组合如0.299*R 0.587*G 0.114*B的灰度图LSB。信息藏在Alpha通道对于PNG-32务必检查第四个通道Alpha通道的LSB。排查技巧写一个简单的熵检测函数。加密或压缩后的数据熵值较高更接近随机而文本或未加密的Flag熵值较低。import math def calculate_entropy(data): 计算字节数据的熵 if not data: return 0 entropy 0 for x in range(256): p_x data.count(x) / len(data) if p_x 0: entropy - p_x * math.log2(p_x) return entropy extracted_bytes bytearray(...) # 你提取的字节流 print(f提取数据的熵: {calculate_entropy(extracted_bytes):.2f}) # 英文文本的熵大约在4.0-4.5左右随机数据的熵接近8.0。 # 如果熵值很高7.5很可能被加密或需要进一步解码。4.2 问题二OpenCV (cv2.imread) 读取图片返回None可能原因及排查文件路径错误这是最常见的原因。使用绝对路径或确保相对路径正确。文件确实已损坏无法被OpenCV解析即使file命令识别为PNG其内部结构错误也可能导致解码失败。此时应退回到用PIL或纯二进制分析。OpenCV版本或编解码器问题尝试用PIL打开并转换。from PIL import Image import numpy as np pil_img Image.open(mystery.png) # 将PIL图像转换为OpenCV格式 (BGR) opencv_img np.array(pil_img) # 如果PIL图像是RGB需要转换为BGR if len(opencv_img.shape) 3 and opencv_img.shape[2] 3: opencv_img opencv_img[:, :, ::-1].copy() # RGB - BGR内存不足对于超大图片可能遇到此问题。尝试用PIL以缩略图模式打开。4.3 问题三提取出的文本片段不完整或包含大量乱码可能原因及排查提取的起始点不对LSB隐写不一定从图像的第一个像素开始。可能有一个偏移量Offset。你需要遍历可能的起始点。def extract_from_offset(bits, offset): 从比特流的指定偏移量开始每8位组成一个字节 bytes_list [] for i in range(offset, len(bits)-7, 8): byte 0 for j in range(8): byte (byte 1) | bits[ij] bytes_list.append(byte) return bytearray(bytes_list) all_bits ... # 从图像中提取的所有比特例如R通道的LSB展平 for offset in range(8): # 尝试前8个可能的偏移 data extract_from_offset(all_bits, offset) try: text data.decode(utf-8) if flag in text.lower(): print(f在偏移量 {offset} 处发现Flag: {text[:200]}) break except: pass信息被分割到多个通道或位平面你可能需要将R、G、B通道的特定位平面提取的比特流交错合并。例如顺序可能是R0, G0, B0, R1, G1, B1, ...其中0代表LSB。使用了错误的字符编码尝试utf-8,ascii,latin-1等多种解码方式。对于中文Flag较少见可能用gbk或utf-16。4.4 问题四在Hex编辑器中看到了flag{字样但后面是乱码可能原因及排查Flag被其他数据包裹或隔断在Hex编辑器中搜索7d即}的ASCII码找到可能的结果。Flag格式通常是flag{...}所以从66 6c 61 67 7bflag{开始到下一个7d}结束中间的部分就是Flag内容。注意中间可能包含不可打印字符需要将其整体进行Base64或Hex解码。Flag被反转Reverse将发现flag{的那段Hex数据整体进行反转[::-1]再解码可能会得到可读文本。Flag被XOR了flag{的XOR结果可能很有特征。假设你看到Hex是12 0f 0a 13 7c用flag{66 6c 61 67 7b与之XOR0x12 ^ 0x66 0x74 - t 0x0f ^ 0x6c 0x63 - c 0x0a ^ 0x61 0x6b - k 0x13 ^ 0x67 0x74 - t 0x7c ^ 0x7b 0x07 - (不可打印)得到密钥可能是tckt然后用这个密钥循环XOR整个密文段来解密。4.5 高阶技巧利用已知明文攻击Known Plaintext Attack如果怀疑Flag被简单XOR加密且你知道Flag的格式是flag{那么你可以利用这5个字节作为已知明文来推算密钥。ciphertext bytes.fromhex(12 0f 0a 13 7c ...) # 你找到的密文Hex known_plain bflag{ # 假设密钥长度5计算密钥前5字节 key_prefix bytes([ciphertext[i] ^ known_plain[i] for i in range(5)]) print(f推测的密钥前缀: {key_prefix}) # 如果密钥是重复的尝试用这个前缀循环解密整个密文 decrypted bytearray() for i in range(len(ciphertext)): decrypted.append(ciphertext[i] ^ key_prefix[i % len(key_prefix)]) print(f解密结果: {decrypted[:100]}...)这种方法在CTF的简单隐写题中非常有效。从一张乱码图片中恢复Flag本质上是一场与出题人设计思路的对话。它考验的是你能否跳出“这是一张图片”的思维定势转而用“这是一段有待解析的数据”的视角去审视它。我的经验是建立一个从文件结构到像素数据的系统性检查清单并熟练运用Python进行自动化探查是应对这类题目的关键。当你用hexdump发现异常的文件尾用PIL提取出隐藏的文本块或者用OpenCV的位运算让LSB中的文字浮现出来时那种“原来如此”的顿悟感正是CTF杂项题目最吸引人的地方。最后分享一个习惯每做完一道题将你的分析脚本和思路整理成文档下一次遇到类似题目时它就是你的最强武器库。

相关新闻