CTFステガノグラフィ方法論

0. 重要 — 検証されていない画像をReadしない

CLAUDE.md に従う:破損した画像を読み込むと会話が台無しになります。先に検証してください:

run_tool("file", "/path/to/image")
run_tool("identify", "/path/to/image")     # ImageMagick
# または run_script:
# from PIL import Image; img = Image.open(path); print(img.size, img.mode)

両方のチェックが成功した後のみ、Readを実行してください。

1. すべてのファイルを分類

file <file>
xxd <file> | head -30
exiftool <file>            # メタデータ — フラグがここに隠れていることが多い
strings <file> | grep -i "ctf\|flag\|key\|pass" | head
binwalk <file>             # 複数ファイルポリグロット

メタデータを常に最初にチェックしてください。初級ステガの約30%はexiftoolだけで解けます。

2. 画像(PNG / JPG / BMP / GIF)

手法	ツール/アプローチ
ピクセルのLSB	zsteg(PNG/BMP)、stegsolve
IEND/EOI後のEOFデータ	binwalk -e、手動hex編集
JPG固有	steghide extract -sf <file>(空パスが多い)、stegseekでブルートフォース
PNG色平面	stegsolve(視覚的レイヤートグル)
LSBマッチング、カスタム	zsteg -a、その後PIL使用カスタムPython
ポリグロット(複数形式の有効なヘッダを持つファイル)	binwalk、foremost
IEND チャンク後に追加されたファイル(PNG)	pngcheck -v、手動カービング
変更/追加チャンク	pngcheck -v、pngcsum
幅/高さの改ざん(PNG)	IHDR幅/高さを編集、CRC再計算 — tweakpngスタイル

# zstegはPNG/BMPのほとんどのLSBケースをカバー
zsteg -a image.png

# steghideブルートフォース(jpg/wav/bmp)
stegseek image.jpg rockyou.txt

# マルチツール走査
stegsolve image.png        # GUI、手動レイヤートグル

3. 音声(WAV / MP3 / FLAC / OGG)

手法	ツール
サンプルのLSB	wavsteg、カスタムpython
Steghideペイロード	steghide、stegseek
スペクトログラム(周波数領域に視覚的に隠された)	audacityでスペクトログラム表示、sonic-visualiser
DTMFトーン	multimon-ng -a DTMF、手動トーン分析
モールス符号	耳で聞く、その後morse-decoderまたは手動
SSTV(音声内スローナルスキャンテレビ)	qsstv、slowrx

# soxでスペクトログラム生成
sox audio.wav -n spectrogram -o spec.png
# その後 spec.png を読み込む前に検証(ステップ0参照)

# DTMF
multimon-ng -a DTMF audio.wav

4. ビデオ / GIF

# フレーム抽出
ffmpeg -i video.mp4 -vf fps=1 frames/frame_%04d.png

# フレーム単位のステガノグラフィ
for f in frames/*.png; do zsteg -a "$f" 2>/dev/null | grep -i "flag\|ctf"; done

# オーディオトラック
ffmpeg -i video.mp4 -vn audio.wav
# その後音声分析

5. テキスト / ユニコード

手法	ツール
ゼロ幅文字	zwsp-steg、手動ユニコード検査
空白ステガノグラフィ	snow、stegsnow
同形字置換	ユニコード正規化+diff
Base-Nネストエンコーディング	ciphey、手動
ベーコン/ヌル暗号	手動+dcode.fr

# 不可視文字を含むすべての文字を表示
python3 -c "import sys; [print(repr(c), hex(ord(c))) for c in open(sys.argv[1]).read()]" file.txt

6. より珍しい形式

• PDF: pdf-parser、peepdf、qpdf --qdf — ストリーム、注釈、JS、添付ファイルを確認
• Officeドキュメント: oletools(olevba、oleid)、oledump、.docx/.xlsxを解凍
• QR/バーコード: zbarimg、zxing — 部分的なQR再構築も試す
• DNA/タンパク質配列: ROT/エンコーディングトリック、A/C/G/Tをbase-4として解読

7. デフォルトワークフロー

1. exiftool + strings + binwalk -eを常に最初に実行
2. 画像の場合 → zsteg -a(PNG/BMP)またはstegseek(JPG)
3. 音声の場合 → スペクトログラム表示
4. 明らかでない場合 → 視覚分析用にstegsolve GUI
5. それでもない場合 → メタデータが答えをエンコードしているかもしれません(GPS、コメント、ソフトウェアフィールドを確認)

8. 時間を無駄にしないこと

• zstegが存在する場合のLSBスクリプト
• audacity/sonic-visualiserが存在する場合のmatplotlabでのスペクトログラム手動表示
• 検証前にReadで画像を読み込む(ステップ0参照)

解法後

writeup-templateスキルを使用してください。