2023 宁波天一永安杯 MISC 进阶题解：PDF 隐写与 binwalk 分析实战

一、题目背景

面对未知格式的图片文件，首先使用 binwalk 工具进行深度扫描，它能识别文件中隐藏的其他文件格式、压缩包或数据段，是隐写分析的第一步核心工具。

执行扫描命令：

binwalk image.png

扫描结果关键信息如下：

十进制(DECIMAL)	十六进制(HEXADECIMAL)	描述(DESCRIPTION)
0	0x0	PNG image, 1200 x 1200, 8-bit/color RGBA, non-interlaced
119	0x77	Zlib compressed data, best compression
66608	0x10430	PDF document, version: "1.3"

关键结论：
扫描结果明确显示，图片文件中隐藏了一个 版本为 1.3 的 PDF 文档，其起始偏移量为十六进制 0x10430（十进制 66608）。这说明 Flag 并非直接隐藏在图片 LSB 中，而是以 PDF 格式封装在图片尾部，属于复合格式隐写。

确定存在隐藏 PDF 后，使用 foremost 工具按文件格式分离数据。foremost 会根据扫描到的文件头/尾，自动提取独立的文件并保存。

执行提取命令：

foremost image.png

执行完成后，会在当前目录生成 output/ 文件夹，其中包含分离出的 PDF 文件（通常位于 output/pdf/ 目录下）。

直接打开提取出的 PDF 文件，会发现显示为空白。这是 CTF 隐写题的常见套路：

针对空白 PDF 的隐写场景，使用专业的 PDF 转 TXT 工具提取隐藏文本。这里选择在线工具 PDF24 Tools（https://tools.pdf24.org/zh/pdf-to-txt），操作流程如下：

解码结果：

flag{625d7f13d1646c3ab86be95a6ee05dd9}

# 安装必要工具（若未安装）
apt install binwalk foremost -y

# 1. 扫描图片中的隐藏数据
binwalk image.png

# 2. 分离提取隐藏的 PDF 文件
foremost image.png

# 3. 进入输出目录查看提取结果
cd output/pdf/
ls  # 查看提取出的 PDF 文件（如 00000001.pdf）

flag{625d7f13d1646c3ab86be95a6ee05dd9}

若 foremost 提取的 PDF 仍为空，可尝试使用 binwalk -D 'pdf:application/pdf' image.png -O extracted_pdf/ 命令，精准提取 PDF 数据
在线工具解码失败时，可使用本地工具（如 pdftotext 命令）转换：pdftotext extracted_pdf/00000001.pdf output.txt，再查看 output.txt

学习 binwalk 的高级用法：binwalk -E image.png 可视化文件结构、binwalk -dd "pdf" image.png 仅提取 PDF
了解其他隐写类型：图片 Steg 隐写、音频 LSB 隐写、文档元数据隐写等