Internal downstream skill for …

# WebShop CTF隐写挑战：40张PNG排查方案

一、环境准备

• 安装Ruby环境后执行 gem install zsteg（zsteg仅支持Ruby，需较新版本）
• 安装binwalk：apt install binwalk（或用pip版binwalk2，功能更全）
• 建议配合 exiftool、strings 做交叉验证

二、批量预处理

• 将40张PNG放入同一目录，用脚本批量处理而非逐个手动检查
• 先用 file *.png 确认真实格式，排除改后缀的伪装文件（如实际是JPG或ZIP）
• 用 ls -la 按文件大小排序，明显偏大的文件优先排查（隐写常导致体积异常）

三、zsteg批量扫描

• 单文件命令：zsteg 文件名.png
• 批量：for f in *.png; do echo "== $f"; zsteg "$f"; done
• 重点关注输出中的：
• b1,rgb,lsb,xy 等LSB通道及扫描顺序组合
• 出现可读文本、flag{、CTF、base64特征字符串的行
• zsteg默认全通道扫描较慢，可加 -a 全量、-v 详细模式按需调整

四、binwalk提取

• binwalk 文件名.png 查看签名，关注PNG数据块（IEND）之后是否还有附加数据
• 发现嵌入内容后用 binwalk -e 文件名.png 自动提取，在生成的 _文件名.extracted 目录中翻找
• 手动追加数据可用 binwalk --dd='.*' 或直接用hex编辑器定位IEND标记截取

五、快速辅助手段

• strings -n 6 *.png | grep -iE "flag|ctf|{" 直接捞字符串
• 对可疑图执行 strings 文件名 | tail 看文件尾部是否异常

六、命中确认

• 找到形如 flag{...} 或 CTF{...} 的字符串即为答案
• 若是提取出的压缩包，继续解压追踪；若无结果，回头优先复查体积异常的文件，并尝试zsteg的 -E 指定提取LSB数据

祝顺利拿到flag！