misc复现与知识点总结
弥生
弥生
三社院信息Sec
2026年11月12日 14:20
河南
去阅读
| 题目 |
考点 |
| bear |
中文特殊文本编码的识别 |
| 表情包 |
图片元数据隐写（XMP） |
| whale |
Windows 平台的中文程序，字符串几乎都是 GBK（代码页 936）编码 |
| 神奇的压缩包 |
ZIP 伪加密：文件的通用标志位被标记为\"已加密\"，但数据本身是明文 |
| 是我的Hanser! |
零宽字符隐写 + base-5 解码／ZIP AES-256 真加密（识别 + 密码使用）／PSD 图层结构，文字图层内容 |
| 上号 |
pcap 流量分析 · JPEG 文件尾附加串 · steghide 口令隐写 |
bear
考点：中文特殊文本编码的识别。该类编码属于可逆编码，不是加密，无法暴力破解，只能依靠识别。
题目
记事本打开，发现是很怪的文本不认识
图包题的下一步固定是查元数据
.\\exiftool.exe -a -G1 -r \"表情包\" | Select-String \"qsnctf\"
-a 显示所有同名标签，-G1 标注来源组，-r 递归。
<dc:creator>
<rdf:li>qsnctf</rdf:li>
<rdf:li>qsnctf{5cab6ff8-0684-4adc-95c3-89283607073e}</rdf:li>
</dc:creator>
FLAG
qsnctf{5cab6ff8-0684-4adc-95c3-89283607073e}
whale
直接用记事本打开 ctrl+f 搜索flag直接得到flag，或者直接双击运行，比较快，需要认真看
FLAG
qsnctf{b6627d79-1500-47b2-81c1-b9f158968fc5}
ZIP知识点
一个%20ZIP%20文件对每个成员保存了两份元数据：
| 名称 |
位置 |
作用 |
| 本地文件头 |
数据前面，PK\\x03\\x04 开头 |
流式解压时用 |
| 中央目录 |
文件末尾，PK\\x01\\x02 开头 |
整个包的\"目录表\"，解压软件先读它 |
两份头里都有一格%202%20字节的 通用标志位（General%20Purpose%20Bit%20Flag）
bit0%20=%201%20 →%20 该文件已加密
bit0%20=%200%20 →%20 未加密
伪加密的套路就是把%20bit0%20置%201，但不真正加密。
解压软件只读标志位、不验证数据，看到\"加密\"就弹密码框；而这里根本没有密码可以爆破——因为根本没加密。
一、补充知识点：到底该改哪一处
伪加密有时会同时置位本地头和中央目录。实测三种改法：
| 改动位置 |
Python zipfile |
Windows Expand-Archive |
只改本地头 0x06 |
❌%20仍报需要密码 |
— |
只改中央目录 0x79E |
✅%20成功 |
✅%20成功 |
| 两处都改 |
✅%20成功 |
✅%20成功 |
原因：常规解压流程先读中央目录，标志位不对就直接拦下，本地头根本没机会被检查。
结论：最小改动是中央目录一处；两处都改更保险，兼容个别会校验本地头的工具。
二、常见变体与区分
标志位不一定是 01%2000
| 值 |
含义 |
01%2000 |
只置%20bit0（加密） |
09%2000 |
bit0%20+%20bit3（加密%20+%20数据描述符），同样按\"加密\"处理 |
改法一致：整格改成 00%2000。
是我的Hanser!
一、解题过程
拿到附件解压后拿到一个zip文件和一个txt文本，txt%20看起来是一段普通外文，zip%20解压要密码
第一层:%20文本体检%20发现零宽字符
python%20textcheck.py%20是我的Hanser!.txt
评论