CTF Misc隐写术实战：图片LSB与音频频谱图挖Flag全攻略

讲个场景。你参加一场CTF，签到题做完之后，Misc部分第一道题就丢过来一张图片。名字叫flag.png，看起来风平浪静，双击打开就是一只猫、一片风景或者一个二维码。你用肉眼看半天，什么异常都没有，Flag到底藏哪儿了？这时候新手最常犯的错误就是对着图片发呆——因为图片隐写这道题，坑从来不在“看”，而在“挖”。

我这个系列已经写到第三篇了，前两篇把Misc的基本盘和流量分析过了个遍。这篇重点放在图片隐写术和音频隐写术上，这两个方向几乎是CTF里Misc出题概率最高的板块，没有之一。整篇文章会从两类文件的基本原理讲起，再带着你走一遍完整实操流程，把自己踩过的坑、用顺手的工具、排查思路全摊开来说。想从“对着图片发呆”进阶到“5分钟挖出隐藏Flag”的，这篇应该能帮到你。

1. 图片隐写的核心思路与常见藏法

1.1 数字图像的基本结构：为什么能藏东西

先说清楚一个基础问题：图片为什么能藏数据？这得从数字图像的存储原理入手。

一张位图（比如PNG、BMP）本质上是一个像素数组。每个像素又由若干个颜色通道组成，最常见的是RGB三通道，每个通道用8位（0到255）表示颜色强度。比如RGB(255, 0, 0)是纯红色，RGB(254, 0, 0)看起来还是红色。这里的关键在于：人眼对色阶细微变化的感知能力非常有限。255和254、128和129之间的差别，肉眼根本分辨不出来。

隐写术利用的就是这个“感知盲区”。

最经典的手法叫LSB隐写（Least Significant Bit，最低有效位）。原理很简单：把每个颜色通道的二进制最低位替换成你想隐藏的数据。假设一个像素的红色通道是11111111（十进制255），改成11111110（十进制254），图片观感完全没有变化，但这个比特就被你占用了。一张1000x1000的图片，有100万个像素，每个像素有3个颜色通道，那就是300万个比特，约366KB的隐藏容量。藏一段Flag绰绰有余。

打个比方：这就好比在印刷好的图书上，每一页的段落下画微小的点来编码信息，乍一看纸面干干净净，但放大镜之下信息量惊人。

除了LSB，图片类Misc题还有几种高频藏法：

• 附加数据拼接：文件末尾直接追加另一段内容，图片查看器不关心尾部数据，但strings或十六进制编辑器一拉就现原形。
• EXIF信息隐藏：把Flag塞进拍摄参数、版权字段、备注信息里。图片属性一打开就能看到，属于送分题。
• 文件拼接/复合文件：把ZIP、RAR压缩包藏在JPEG后面，改后缀为.jpg让图片正常显示，用binwalk或者手动分割就能提取。
• 颜色通道分离：把Flag写在某个颜色通道的特定位置，比如红色通道全黑、绿色通道正常、蓝色通道藏字，用通道分离工具一分开就看到了。
• 双图对比/像素对比：两张看似相同的图片，做像素级减法或异或，差异区域就是隐藏信息，常见于盲水印题。

1.2 识别题目类型的思路：拿到图片先做“望闻问切”

很多新手问我：拿到一张图片，第一反应应该是什么？我的答案是：别急着上工具，先做一轮系统性的“基础检查”。顺序大概是：

1. 直接打开图片看内容，观察有没有异常。比如图片里出现奇怪的颜色条、角落有不自然的噪点、有大面积纯色区域——这些都可能是隐写痕迹。
2. 看文件属性——包括修改时间、拍摄设备、GPS位置、软件信息。用exiftool扫一遍最省事。
3. 用strings抓取字符串，把可读字符全拉出来过一遍。有时候直接就能看到flag{...}前缀。
4. 用binwalk扫描文件结构，检查有没有嵌入了其他文件。
5. 再看十六进制文件头。JPEG以FF D8 FF开头，PNG以89 50 4E 47开头，如果文件头对不上，说明题目被改过，可能要修正文件头才能正常打开。

这套流程走完，如果还没发现Flag，才轮到LSB探测、通道分离这类深度操作。我习惯把前四步叫“外围排查”，通常能解决30%的简单题；剩下70%的题，才需要真正动隐写工具。

提示：CTF中99%的图片隐写题都不会改变图片的可视内容。如果你一眼就能看出图片有异常，比如出现一大片雪花噪点，那通常不是LSB隐写，而是某种攻击性更明显的操作，比如加入了大量干扰数据或者损坏了文件结构。

1.3 工具链选型：稳定可靠的主力工具与定位

工具这块我踩过不少坑。网上推荐的隐写工具五花八门，但真正好用的就那么几个，而且各有分工。说说我每天必用的主力工具和各自动手难度：

• OpenStego：Python实现的开源隐写工具，支持LSB嵌入与提取，也支持水印嵌入。适合做“已知用了LSB，需要提取”的活。GUI也好，命令行也好，流程很清晰。
• Zsteg：Ruby开发的命令行工具，专门针对PNG和BMP的隐写检测，内置多种隐写算法。我惯用zsteg -a参数做全量扫描，能自动尝试多种算法，省去手动猜测的环节。
• binwalk：固件分析出身，但在CTF Misc里是找“文件拼接”的神器。扫一下就知道图片尾部藏了什么。
• Stegsolve：Java写的老牌工具（现在也可以下载新版），提供颜色通道分离、图片拼接、帧浏览器等能力，专门应对“肉眼找不到但颜色通道可见”的情况。
• exiftool：读取元数据的标准工具，能输出几乎所有EXIF字段，CTF里查属性用它最靠谱。
• Audacity：音频题标配，频谱图查看、波形分析、格式转换都能做，我在第三部分会详细讲用法。

这套工具组合覆盖了图片和音频两个方向95%以上的需求。别贪多，工具越多越容易选择困难。先把这几个用熟，等遇到少见的隐写算法再针对性研究。

2. 图片隐写实操：一步步挖出隐藏Flag

2.1 一题一景：用一个案例串联完整流程

为了把上面的思路落到地上，我拿一个模拟题目来走一遍完整流程。假设你在靶场拿到一个压缩包，解压后里面只有一张cat.png，题目描述只有一句话：Find the flag inside.。

第一步：基础观察。 用系统自带的图片查看器打开，就是一只橘猫，没什么异常。图片是PNG格式，大小只有200KB，比网上随便一张猫图小很多——这是个疑点，压缩率再怎么高，200KB的PNG也有点偏小，说明可能被处理过。

第二步：exiftool扫元数据。 输入命令：

bash复制exiftool cat.png

输出一堆拍摄参数：分辨率800 x 600、位深24、无GPS信息、软件字段写着OpenStego。等等，软件字段是OpenStego？这个信息很关键，说明图片可能经过了OpenStego处理，或者只是作者顺手用了这个工具保存图片。不管是哪种情况，都是个明确的提示方向。

第三步：strings和文件结构检查。

bash复制strings cat.png | grep -iE "flag|ctf|{" 

输出为空。再上binwalk：

bash复制binwalk cat.png

扫描结果显示：文件头是PNG，之后是一段Zlib压缩数据，然后就是EOF——没有藏额外文件。到这里，外围排查基本结束，没发现明显线索，可以判定大概率是LSB隐写。

第四步：上Zsteg全量探测。

bash复制zsteg -a cat.png

Zsteg跑了大概几秒钟，输出里有一段Base64字符串。这个时候不要急着解码，先想想——隐写题里藏Base64是很常见的套路，但有时候解出来是套娃，解一层还有一层：

bash复制echo "ZmxhZ3swZDBfeTB1X2YwdW5kXzF0fQ==" | base64 -d

输出flag{0d0_y0u_f0und_1t}，Flag到手。

完整思路就是：外围排查把简单的坑排除掉，然后用暴力探测工具做深度扫描，最后解码套娃数据。这套打法60%的图片LSB题都能通吃。

2.2 OpenStego与Zsteg的详细用法对比

既然提到了这两个工具，那就展开细说。

OpenStego的典型用法是提取由OpenStego嵌入的数据：

bash复制java -jar openstego.jar --extract -p password -i carrier.png -o extracted.txt

-p指定密码（部分题会提示密码，没有就留空），-i指定隐写载体，-o指定输出文件。用它的场景比较明确：你怀疑某张图是用OpenStego写的，或者题目描述里给了工具名。OpenStego嵌入数据时会附带完整性校验，所以提取成功率高，输出结果是乱码的可能性很小。

Zsteg则更偏向“盲扫”，它的原理是尝试多种已知的LSB隐写算法变种，包括：

• LSB替换（顺序替换、随机间隔替换）
• LSB匹配
• 多通道组合读取
• 基于调色板的隐藏算法

常用命令是：

bash复制zsteg -a flag.png
zsteg -b 128 -o 4 flag.png

-a全量扫描，自动尝试所有算法；-b指定使用LSB还是MSB（最高有效位，某些题会反着来）；-o设置偏移字节数。实战中我一般先跑-a，扫不出来再手动调整-b和-o。Zsteg的输出会自动尝试解析JSON、UTF-8字符串、Base64等，所以你直接看输出里有没有可读内容就行，别指望它直接输出纯Flag，需要自己判断。

2.3 高级变体：颜色通道分离与像素差异对比

有些题不走LSB的套路，而是把信息直接画进颜色通道里。这时候就需要Stegsolve出手了。

Stegsolve的“Colour Channels”功能可以把RGB三个通道分别显示出来，“Grey Bits”功能则把每个通道的每个比特位单独显示。也就是说，如果哪道题把Flag写在了Red channel bit 7（红色通道的第7位），肉眼完全看不出来，但用Stegsolve的Bit Plane功能一帧一帧翻过去，文字立刻浮在画面上。

另一种经典做法是像素差异对比。给两张看起来完全一样的图片，一张是原图，一张是藏了信息的图。直接观察可能很难看出差别，但把两张图片做“Image Combiner”或者“Subtract”运算，差异区域就凸显出来了。Stegsolve里有个“File Format”工具能查看不同图片的像素数组差异，运算思路本质上就是：

code复制差异 = 图片A的像素值 - 图片B的像素值

如果两张图一模一样，差值全为0，输出是纯黑；如果某区域有差异，那区域就会呈现出彩色或亮色。Flag信息就藏在这些差异里。

我自己遇到过一个有意思的题，两张图的差异区域拼出来是二维码的定位角……三张图上分别放了三个不同的角落，合起来才组成完整二维码。这种题单拿一张图怎么挖都挖不出来，必须三张图联立分析。所以，做Misc题要养成习惯：压缩包里如果给了多张相似图片，先怀疑是不是要联合分析，别急着只盯着一张图抠。

3. 音频隐写：频谱图、波形图与可听层分析

3.1 音频文件的结构特点与隐写方式

图片说完了，接下来是音频隐写。音频题在CTF里的出场率也很高，而且套路比图片更固定一些，掌握几个核心技能基本能覆盖大部分题目。

先理解一下音频文件在计算机里长什么样。一段WAV音频本质上是采样点的序列，每秒钟采样44100次（标准CD音质），每次采样记录一个数值，代表那个时刻的声波振幅。把这些采样值排列起来画成图，就是波形图。而频谱图则是把音频信号做傅里叶变换，横轴是时间、纵轴是频率、颜色深浅代表该频率的能量强度。

音频隐写最常见的五种方式：

• 频谱图藏字：直接把文字、图片画在频谱上。人耳完全感知不到，但打开频谱图就能看到。这是音频Misc里最经典的出题方式。
• 波形图藏摩斯：把音频的振幅调制成点、划、间隔，放大波形图就能读出摩斯电码。
• 反向音频：把音频倒过来播，里面有一段倒着念的话，用Audacity反转后就能听清。
• 低速/变速播放：把语速变得极慢或极快，夹在正常内容里的语音才能暴露出来。
• 多声道分离：有的题把Flag藏在左声道或右声道，只留人声在另一边，分离声道后就能提取。

3.2 Audacity实操：频谱图看字与波形图读码

Audacity是免费开源的音频编辑软件，音频Misc题基本靠它打天下。先下载安装好，然后把题目音频拖进去，几类操作分别介绍一下。

查看频谱图：

导入音频后，在轨道头部左侧有个下拉菜单，默认显示“波形”，切换到“频谱图”。如果频率范围太大看不清，可以调整显示区间，常用的是0Hz到8kHz。很多藏在频谱里的Flag，会以几行文字的形式出现在通频带里，比如一段高频嘶嘶声里藏着flag{sp3ctrum}。

我第一次碰到这种题的时候差点错过：音频播放出来是轻音乐，频谱图在低频区域有一片深色纹理，调到频谱图模式才看到旋律中夹着一串不断闪烁的小字。那种感觉挺奇妙的，像在X光片里看到骨头上的刻字。

读取摩斯码：

有些题的音频不是藏着整段语音，而是把Flag转成摩斯电码编进波形里。看到波形图上有规律地长短起伏，就应该联想到摩斯。Audacity里拉大波形图，把时间轴放到足够宽的尺度，然后逐段记录“长音”和“短音”：

• 点=短促的高振幅脉冲，持续约0.1秒
• 划=长脉冲，持续约0.3秒
• 间隔=静音区

记下来之后用摩斯码表查，或者直接用在线解码器。这类题的关键是静下心一段段数，别急着猜，数错了音长差半秒结果就完全不对。

3.3 音频隐写的其他提取手法与常用命令

除了Audacity的手工分析，音频题也有一批命令行工具能提高效率：

• strings：老规矩，先扫一遍有没有直接嵌入的文本，比如某些题直接把Flag作为注释写进ID3标签。用strings audio.mp3能捞出来。
• binwalk：音频文件也可能是多重文件载体，尾部藏了压缩包，用binwalk扫一遍更放心。
• mp3stego：专门针对MP3的隐写工具，支持嵌入与提取。用法是mp3stego-decode -X -p password file.mp3，部分MP3题必须用它，通用工具扫不出来。
• Sonic Visualiser：比Audacity更专业的音频可视化工具，能看更精细的频谱图，必要时可以配合Audacity互补使用。
• sox：命令行音频处理工具，能反转、变速、混音、导出频谱图，比如sox audio.wav reversed.wav reverse实现倒放，适合语音反转型题目。

音频题最典型的坑：你分析了一遍觉得啥也没有，于是怀疑题目有问题。其实大概率是你没切到正确的视角。 先看波形、再看频谱、再试反转和变速，这套组合拳打完还不行，才考虑是不是文件结构上有问题。别一上来就怀疑题出错了，绝大多数情况下都是自己漏看了。

4. 常见问题与排查技巧实录

写这部分主要是想帮大家少走一点弯路。下面这些问题都是我在刷题和带新人过程中反复遇到的，整理成速查表，可以直接对照着排错。

再补几个独家心得：

4.1 别忽略“题目描述”里的信息

CTF题目描述看起来只是剧情背景，但出题人经常会把提示藏在里面。比如描述里写“这张照片拍摄于某个小镇，天气晴朗”，后面的Flag可能就是天气字符串相关；描述里特意提到“密码是六个零”，那就是在暗示OpenStego的密码是000000。别把题面描述当废话，Misc题很多时候是靠“读题”解题的。

4.2 学会看Flag格式判断步骤完整性

CTF的Flag一般都有统一格式，像flag{...}、ctf{...}。如果中间步骤的解码结果出现了一堆乱七八糟的字符，但里面有一个类似于flag{的片段，通常说明这一步是对的，但你需要进一步解码嵌套层。反之，如果解码结果是干净可读的英文句子，但是跟Flag格式完全不沾边，那多半还有个“包装”没拆开。

4.3 隐藏的信息不一定只在像素/波形里

图片里藏ZIP，ZIP里藏MP3，MP3里藏频谱图二维码，这是标准的三层套娃题。所以挖到一个线索后不要立刻开心，先检查压缩包里有没有更多文件，再想想这一层提取结果是不是只是中间产物。Misc题的乐趣也在这里，就像剥洋葱，一层层剥开才有真相。

5. 写在最后——这些坑我都替你踩过了

做CTF Misc最需要练的其实是耐心和系统化思维。刚入门那会儿，我也犯过“拿着图片看半天全靠瞎猜”的毛病，后来刷了上百道题才总结出固定的SOP：外围排查（strings/exiftool/binwalk）→ 深度探测（zsteg/stegsolve）→ 联合分析（多图对比、多工具交叉验证）。很多时候同一个工具多跑一遍，换个参数，结果就出来了。

最后再提醒一件事：题目的工具版本和系统环境也会影响结果。Zsteg对Ruby版本有要求，OpenStego需要Java环境，装不上的时候别硬扛，直接换Docker镜像或者队友的机器跑，省下来的时间能多刷两三道题。

这套图片与音频隐写的打法，覆盖了Misc板块一半以上的常见题型，剩下的像流量分析、文件修复、盲水印等方向，后续我会在系列文章里继续补全。希望这篇对你上手CTF Misc有帮助，咱们下一篇见。