CTF 题目解析与教学：深育杯-Disk 与深育杯-bridge

深育杯-Disk 题目解析

初始文件分析

• 文件后缀为 .vera，这是 VeraCrypt 加密容器的特征
• 需要密码才能解密该容器

密码获取方法

1. 文件名提示：观察文件名在键盘上画出的轨迹
2. 密码推导：通过轨迹分析得出密码为小写的 pvd

VeraCrypt 容器解密

1. 使用密码 pvd 挂载 VeraCrypt 容器到本地
2. 查看容器内文件 goooood 的文件头，识别为 7z 压缩格式

解压过程

1. 解压 goooood 文件，发现套娃结构，内含另一个 goood 文件
2. 再次解压 goood 文件，得到两个文件：
   • Microsoft reserved partition.img：空文件，HexEditXP 检查无内容
   • Basic data partition.img：使用 DiskGenius 检查发现被 BitLocker 加密

BitLocker 破解

1. 使用 bitlocker2john 提取哈希：

   bitlocker2john -i Basic\ data\ partition.img
   

2. 通常会得到 4 个哈希，通常使用第一个或第二个（第三个和第四个可能不被 hashcat 识别）
3. 使用 hashcat 爆破 BitLocker 密码：

   hashcat -m 22100 hash.txt rockyou.txt
   

   • -m 22100 指定 BitLocker 哈希类型
4. 得到密码：abcd1234

数据提取

1. 使用 DiskGenius 和密码 abcd1234 解锁加密分区
2. 在回收站内找到一个体积较大的文件
3. 提取后发现是 7z 压缩文件，解压得到 bcache24 文件（17.4MB）

RDP 缓存分析

1. bcache24 是 RDP 缓存文件
2. 使用 bmc-tools 解密文件，得到 1115 张 BMP 图片
3. 分析图片：
   • 发现一张文件缩略图，疑似 flag
   • 找到两张疑似文件名的图片
   • 拼接文件名与缩略图内容确认一致性
4. 尝试提交 flag 时发现需要 base64 解码

深育杯-bridge 题目解析

初始分析

1. 使用 zsteg 检查图片，提示有 zlib 流但文件头被修改（从 789c 改为 879c）
2. 导出 zlib 流并解压，得到 RAR 文件（提示查看 flag1）

EXIF 信息检查

1. 使用 exiftool 查看图片 EXIF 信息
2. 发现 Copyright 行有一串 HEX 文本
3. 解码 HEX 得到：dynamical-geometry（后续会用作密码）

PNG 文件头修复

1. 使用 StegSolve 检查图片，发现 PNG 文件头
2. 前面有空数据导致 zsteg 识别失败
3. 手动清理多余空数据，得到有效 PNG 文件

LSB 隐写分析

1. 按列查看颜色值，发现蓝色通道出现 504B0304（ZIP 文件头）
2. 在 StegSolve 中：
   • 勾选蓝色通道
   • 使用 "Extract by Column" 功能导出数据
3. 得到 ZIP 文件，需要密码

解压 ZIP

1. 使用之前从 EXIF 获取的密码 dynamical-geometry 解压
2. 得到 STL 文件（3D 模型文件）

3D 模型查看

1. 使用 Windows 自带的 3D 查看器打开 STL 文件
2. 得到一半的 flag

另一部分 flag 获取

1. 根据之前提示，另一个压缩包中的文件也是 STL 文件
2. 同样用 3D 查看器打开，得到另一半 flag

关键工具与技术总结

工具列表

1. VeraCrypt - 加密容器挂载
2. 7z - 压缩文件解压
3. DiskGenius - 磁盘映像分析
4. HexEditXP - 十六进制编辑器
5. bitlocker2john - BitLocker 哈希提取
6. hashcat - 密码爆破
7. bmc-tools - RDP 缓存解密
8. zsteg - PNG 隐写分析
9. exiftool - 元数据分析
10. StegSolve - 图片隐写分析
11. 3D 查看器 - STL 模型查看

关键技术点

1. 键盘轨迹密码推导
2. 文件头分析识别文件类型
3. BitLocker 加密破解流程
4. RDP 缓存文件处理
5. LSB 隐写分析技术
6. PNG 文件结构修复
7. 3D 模型文件中的信息隐藏

常见哈希类型

• BitLocker: hashcat mode 22100
• 其他常见哈希类型可通过 hashcat --help 查询

注意事项

1. 多层压缩包（套娃）是常见手法
2. 密码可能隐藏在元数据或图片中
3. 非常规文件头可能是故意修改的
4. 大容量文件中的隐藏数据需要耐心分析
5. 提交 flag 前可能需要额外处理（如 base64 解码）