新手解题欢迎大家一起探讨。隐写1.文件下载解压缩后得到.png文件我最先想到的是去校验CRC是否正确这里我用了一个在线工具CRC校验计算器 - 在线计算CRC-8, CRC-16, CRC-32, Modbus校验码。2.首先我们要知道如何计算CRCPNG的头部偏移0-789 50 4E 47 0D 0A 1A 0Apng签名8-1100 00 00 0DIHDR数据长度12-1549 48 44 52 IHDR标记16-1900 00 01 F4 宽度4字节20-2300 00 01 A4 高度4字节24-2808 06 00 00 00 位深颜色类型等29-32CB D6 DF 8A存储的CRC32参与CRC计算的数据偏移12-2817字节将这17字节计算出来后与后四位29-32作比较若一致则未被篡改不一致则CRC有误。在上述链接里计算CRC得到 C758D77D与原来的CRC校验码 CB D6 DF 8A 不一致。说明照片宽高被人为篡改用PNG宽高修复工具上传文件修复宽高得到原始图片找到flag。新手解题欢迎大家一起探讨。Telnet1.下载解压缩后是.pcap抓包可以看到大量的tcpTelnet协议报文。首先我们先了解一下telnet和tcp协议的特点是什么telnet明文远程登陆①是应用层协议底层基于tcp协议。②明文传输无加密。③字符式发送键盘每输入一个字符就发送一个数据包所以一段完整字符串会被拆成大量碎片化小包每个数据包仅携带1-2个字符。tcp协议传输层的可靠传输协议的特点①面向连接三次握手建立连接四次挥手断开连接②可靠传输确认应答重传机制丢包自动重发保证数据完整到达不会丢失。③数据分片长文本被切割成小分片数据包进行网络传输接收方收到碎片后操作系统自动按顺序重组还原原始数据。④有序传输数据包到达顺序可能会乱序tcp会重新排序保证一致性。2.ctrlF 搜索字符串flag发现看不到完整flag。3.追踪tcp流查看完整通信内容。右击任意一条数据包--点击追踪流--点击tcp流眼见非实1.下载得到 file.zip 文件解压缩后得到 .docx 文件打开失败。翻资料发现 .doc 和 .docx 是不一样的早期老版本word是 .doc 是二进制私有格式从Office2007开始推出 .docx 微软采用了OpenXML格式。.docx实际上是把一堆xml图片文件压缩成zip又改成后缀.docx。有小伙伴提到了PK了解发现PK十六进制50 4B是zip的魔数文件签名。三种常见PK标记① 50 4B 03 04 → 正常zip文件开头本地文件头 .zip 、 .docx 、 .xlsx 、 .apk 、 .jar 都是这个开头。② 50 4B 01 02 → zip中央目录伪加密修改字节就是改这一行往后第7‑8字节。③ 50 4B 05 06 → zip文件的结尾标记。2.知道 .docx 的底层真实格式是zip后可以从这方面下手。将 .docx 重命名为 .zip 再次解压。3.解压出一堆文件然后去document.xml(文档正文文字)中查找是否存在 flag 。往下翻得到flag。Linux21. 依旧是下载解压缩得到无后缀的文件。试试用记事本打不开。很茫然了。2. 不过我最近发现随波逐流是真好用。把原文件直接扔进随波逐流秒出答案。3. 不过题目提到了Linux那就用Linux再试试吧。使用命令行看能不能直接读取。直接出来了诶。4. 知识点strings从二进制文件里提取所有可读文本字符串。grep文本筛选/过滤工具“|”管道符把前面命令输出的结果直接交给后面的命令当输入。easy_nbt1. 下载解压缩出一堆文件有张图随波逐流后没发现什么。题目是easy_nbt查资料发现nbt是《我的世界》存档格式数据下载下来的是MC游戏存档压缩包。2. 评论区提示我们需要去playdata文件夹找 .dat 文件NBT的数据文件试了一下改后缀 .zip 再解压缩 结果显示为空。3. 查资料ing.dat 是gzip压缩直接Windows系统工具解压缩会提示为空。下面我试了两个方法①随波逐流把 .dat 文件放入随波逐流进行 binwalk 文件提取会在文件夹下生成一个相关文件夹。在记事本里打开下翻发现flag。② 7-zip 解压缩如果你的电脑有7-zip可以直接解压缩 .dat 文件记事本打开可找到flag。疑问为什么7-zip可以直接解压缩 gzip 而 Windows系统工具 却不可以呢这是因为 Windows系统工具 只看文件后缀名7‑Zip 看文件头部二进制签名魔数Magic Number不看后缀叫什么。gzip文件开头固定两个字节 1F 8B 这是它的身份证魔数。MC的 .dat 文件虽然后缀写的是 .dat 文件开头字节依然是 1F 8B 本质就是gzip压缩文件。③NBTExplorer导入 .dat 数据在Inventory里逐级打开即可翻找到flag。4. 还有一点我很好奇为什么直接就是在playdata里找flag呢会不会在其他地方。问了ai发现还可能在其他位置①playdata/ NBT的数据文件flag写在玩家背包的书written_book里面UUID.dat 文件点开Inventory背包找书本。②level.dat存档根目录世界全局信息单人存档玩家数据也会写在里面。③region/*.mca 区块文件flag写在地图方块告示牌箱子里面。④当然还可能在其他位置可以使用NBTExplorer软件导入文件逐级翻看。附上免安装链接NBTExplorer CPE.zip - 蓝奏云又一张图片还单纯吗1. 下载后直接就是一张图片放进随波逐流进行 binwalk 文件提取输出提示“改用foremost尝试提取”。 这下可以了提取出foremost文件夹里面包含了一个 jpg 文件夹和一个 txt 文本记事本打开文本没发现可用信息打开jpg文件夹果然flag在里面。2. 了解一下我们的小工具吧binwalk和foremost的区别binwalk 负责扫描告诉你 “这个大文件里面藏了好几个小文件这里有 jpg 头、那里有 zip 头”foremost 负责动手切出来找到文件头 / 文件尾直接把内嵌的文件完整切出来保存成独立文件。