电子取证——文件头初探与图片隐写（一）

原创

是羊羊羊呀
是羊羊羊呀

羊羊羊的forensic

2026年10月5日 18:04
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

第一步：确认图片结束位置

在“查找十六进制数值”中搜索：

FF D9

我们就找到了图片的结束位置

第二步：找到 ZIP 的真正起点

搜索：

50 4B 03 04

这是压缩包开始的文件头的位置

第三步：确定选区的终点

“50 4B 05 06” 只是 EOCD 的开头，

不是“ZIP 到这四字节就结束了”。

对本例这种普通单卷 ZIP，EOCD 的固定部分占 22 字节，之后还可能有注释。ZIP 的最后一个字节位置可写成：（现实中直接选到最后一个，除非比赛）

最后一个字节的偏移 = EOCD 起点 + 22 + 注释长度 − 1（哈哈哈哈哈，不做这个推文我都不知道，喵）

第四步：定义块，把字节复制到新文件
右键zip文件头的第一个数字5，点击“定义块起始”，块结尾直接选到最后。

编辑 → 复制块 → 到新文件。

保存为 “extracted.zip”。（随便起名字）这个命令复制的是原始字节。如果选了“十六进制数值”或“编辑器显示”等文本复制方式，导出的会是文字，压缩软件无法按原 ZIP 读取。

这道题的zip没有特殊加密，直接打开就能得到答案。flag{isyangyangyangya}

扩展与补充