安然攻防常识CTF之MISC

序言：

本周技能分享将先容安全攻防知识中的MISC部分。
MISC，中文即杂项，包括隐写、数据还原、脑洞、社会工程、压缩包解密、流量剖析取证、与信息安全干系的大数据等。

让我们一起来理解更多吧！

（一）文件构造简介

1.常见文件格式

2.举例

1）PNG格式文件的文件头：89 50 4E 47 0D 0A 1A 0A 。

2）红框内为Zip格式文件的文件尾。
此文件尾破坏将无法正常打开ZIP压缩文件。

3.文件格式检测方法

1、查看文件扩展名（可随意修正，不一定准确）。

2、利用支持16进制的文本工具查看文件头。

Windows：Winhex 、 010Editor

Linux：Hexeditor、Hexdump命令

3、利用文件识别工具。

Linux：file命令

4.常见文件头、文件尾

JPEG (jpg)文件头：FFD8FF；文件尾：FF D9

PNG (png)文件头：89504E47；文件尾：AE 42 60 82

GIF (gif) 文件头：47494638；文件尾：00 3B

TIFF (tif)文件头：49492A00

XML (xml)文件头：3C3F786D6C

HTML (html)文件头：68746D6C3E

Adobe Acrobat (pdf)文件头：255044462D312E

ZIP Archive (zip)文件头：504B0304；文件尾：504B

TAR （tar.gz）文件头：1F8B0800

RAR Archive (rar)文件头：526172211A0700 C43D7B00400700

Wave (wav)文件头：57415645

AVI (avi)，文件头：41564920

MS Word/Excel (xls.or.doc)文件头：D0CF11E0

Adobe Photoshop (psd)文件头：38425053 Windows Bitmap (bmp) 文件头：424D

（二）隐写

隐写部分将先容文档、图片及音频的隐写办法。
请看以下详细先容。

1. 文档隐写

1） word文档隐写：包括利用word的隐蔽笔墨功能、转换成压缩包等办法。

2） pdf文档隐写：包括转换成word、利用工具解密等办法。

2.图片隐写

图片隐写包括直接隐蔽在属性中修正图层、修正宽高、 盲水印隐写、LSB隐写等办法。
个中，LSB隐写的事理便是图片中的像素一样平常是由三种颜色组成，即三原色(红绿蓝)，由这三种原色可以组成其他 各种颜色。
在PNG图片存储中,每个颜色就霸占8bit，即有256种颜色，一共包含256的三次方颜色，即16777216中颜色。
人类的眼睛可以区分约1,000万种不同的颜色，剩下无法区分的颜色就有6777216。
LSB隐写便是修正了像素中的最低位，把一些信息隐蔽起来。
PNG图片是一种无损压缩，也只有在无损压缩或无压缩的图片（bmp图片是一种无压缩）上实现LSB隐写。
如果是jpg图片,就没办法利用lsb隐写了。

LSB隐写便是修正RGB颜色分量的最低二进制位，也便是最低有效位。
每个像素可以携带3比特的信息，10 进制的235表示的是绿色，以是我们在修正二进制中的最低位时，颜色依旧看不出有任何变革，从而达到隐蔽信息的目的。

将最低有效位更换为0和1，然后7位或8位一组组成新的ASCII码。
此外，工具隐写包括jphs、stegdetect、steghide等办法。

3.音频隐写音频隐写办法包含隐蔽摩斯密码、工具隐写（mp3steg）、频谱图等办法。

（三）压缩包操作

紧张以伪加密为主，还有暴力破解、字典破解、明文破解、crc32爆破等办法。
个中，伪加密的操作办法如下显示：

（四）流量剖析

1. wireshark大略利用

您可通过抓取本地ping流量或者抓取访问网页信息（get post 图片）后进行利用。
详细的过滤方法如下：

2.常用方法

1）导出流

2）追踪流

（五）USB流量剖析

1.USB接口简介通过监听USB接口流量，可获取键盘击键，鼠标移动与点击，存储设备的明文传输通信，USB无线网卡网络传输内容等。
USB协议数据部分在Leftover Capture Data域中。
利用tshark命令将其单独提取出来：

tshark.exe -r mouse.pcapng -T fields -e usb.capdata > usbdata.txt

2.键盘流量

键盘数据包的数据长度为8个字节，击键信息集中在第3个字节，每次击键都会产生一个数据包。
以是如果看到给出的数据包中的信息都是8个字节，并且只有第3个字节不为00，那么险些可以肯定这是一个键盘流量。

3.鼠标流量

不同的鼠标抓到的流量不一样，一样平常的鼠标流量是四个字节。
第一个字节表示按键指示的左键和右键，第二个字节表示水平位移，为正（小于127）是向右移动，为负（补码负数，大于127小于255）是向左移动。
第三个字节表示垂直位移，为正（小于127）是向上移动，为负（补码负数，大于127小于255）是向下移动。
事实上，起浸染的只是三个相邻的字节。

（六）大略的取证剖析

末了，您可通过磁盘规复的办法进行大略的取证剖析。
在目前大赛中，取证的占比率还是相对来说很大的。

（七）理解小老婆，理解星云博创

星云博创科技有限公司（简称“星云博创”）成立于2016年，是海内新兴的网络安全产品、可信安全管理平台、专业安全做事与办理方案的综合供应商。
星云博创设北京为北方总部，广州为南方总部，并于成都、合肥、南昌、贵州、武汉、太原、哈尔滨等多个城市设立分支机构。
同时，星云博创为不断完善客户做事体系和应急相应体系，在全国10余个省、市、自治区、直辖市建立三级做事支持中央，724小时接管客户需求，及时供应标准同等的安全做事。

作为一家以技能先导的企业，星云博创始终坚持在网络安全、数据安全、态势感知、等级保护、合规性安全管理等领域进行技能创新，利用安全剖析、大数据剖析、人工智能等技能，对网络空间安全要素、安全风险进行深度挖掘与关联剖析，构建了多层次的纵深防御体系，持续推出态势感知平台、静态脱敏系统、终端安全监测系统等一系列精良的安全产品和行业办理方案，广泛运用于政府、运营商、医疗、教诲、电力、能源等多个领域，让风险无所遁形。

星云博创已得到ISO9001、ISO27001、 ISO20000管理体系认证，CMMI5软件成熟度认证，信息系统安全集成做事、信息安全风险评估做事、软件安全开拓做事资质的CCRC二级认证，及安全运维做事资质、应急处理做事资质的CCRC三级认证。
此外，星云博创还是国家信息安全漏洞库（CNNVD）技能支撑单位、海南省网络安全应急技能支撑单位、广州市应急联动机构支撑单位。