文件隱藏
常見文件頭尾
jpg 文件頭FFD8FFE0 文件尾FFD9
png 文件頭89504E470D0A1A0A 文件尾AE426082
gif 文件頭47494638 文件尾003B
zip 文件頭504B0304 文件尾
rar 文件頭Rar! 文件尾
7zip 文件頭7z集' 文件尾
文件分析
工具
binwalk,kali中集成工具，用于分析文件中所包含的內容，使用方法為binwalk picturename
# binwalk carter.jpg
DECIMAL HEXADECIMAL DESCRIPTION
--------------------------------------------------------------------------------
0 0x0 JPEG image data, JFIF standard 1.01
382 0x17E Copyright string: "Copyright (c) 1998 Hewlett-Packard Company"
3192 0xC78 TIFF image data, big-endian, offset of first image directory: 8
140147 0x22373 JPEG image data, JFIF standard 1.01
140177 0x22391 TIFF image data, big-endian, offset of first image directory: 8
以上執行結果說明這個jpg文件還隱藏著另一個jpg文件，從140147塊偏移開始就是另一張jpg
文件分離
binwalk
binwalk -e filename會將結果保存在當前文件夾下
dd命令分離
dd命令詳解
dd if=carter.jpg of=carter-1.jpg skip=140147 bs=1
這里if是指定輸入文件，of是指定輸出文件，skip是指定從輸入文件開頭跳過140147個塊后再開始復制，bs設置每次讀寫塊的大小為1字節
使用foremost工具分離
foremost是一個基于文件文件頭和尾部信息以及文件的內建數據結構恢復文件的命令行工具，使用方式：foremost picturename,當我們使用這行命令后，foremost會自動生成output目錄存放分離出文件
修改后綴名
針對利用copy命令，將兩個文件以二進制方式連接起來的方式進行的圖片隱寫術， 即使用命令copy /b example.jpg+hide.zip output.jpg生成output.jpg的新文件，可以將文件直接改為后綴名為.zip的文件，然后直接解壓即可。
修改數據
LSB來進行隱寫
SB也就是最低有效位 (Least Significant Bit)。原理就是圖片中的像數一般是由三種顏色組成，即三原色，由這三種原色可以組成其他各種顏色，例如在PNG圖片的儲存中，每個顏色會有 8bit，LSB隱寫就是修改了像數中的最低的1bit，在人眼看來是看不出來區別的，也把信息隱藏起來了。譬如我們想把’A’隱藏進來的話，就可以把A轉成16進制的0x61再轉成二進制的01100001，再修改為紅色通道的最低位為這些二進制串。
如果是要尋找這種LSB隱藏痕跡的話，可以使用Stegsolve輔助我們進行分析，使用使用Stegsolve打開文件，然后點擊下面的“>” "
在這個過程中，我們要注意到，隱寫的載體是PNG的格式，如果是像之前的jpg圖片的話就是不行的，原因是jpg圖片對像數進行了有損的壓縮，你修 改的信息可能會被壓縮的過程破壞。而PNG圖片雖然也有壓縮，但卻是無損的壓縮，這樣子可以保持你修改的信息得到正確的表達，不至于丟失。BMP的圖片也 是一樣的，是沒有經過壓縮的，可以發現BMP圖片是特別的大的，因為BMP把所有的像數都按原樣儲存，沒有壓縮的過程
gif數據隱寫
使用Stegsolve還可以按幀對gif進行查看，查找其中隱寫的內容，操作方法為Stegsolve——Analyse——Frame Browser。或者可以使用Namo_GIF_gr進行查看。
載體
數據在隱藏的時候，我們常常是需要先分析是數據隱藏在哪里，也就是他在利用是什么做載體，之后才可以進一步的分析是加密或編碼的。這也就是說我們要 對一個圖片的格式要有了解，才能知道哪些地方是可疑的，哪些是可以隱藏起信息的，會有冗余的成分在。舉個例子吧，比如給了一個jpg的圖片。除了我們之前 說到的隱藏在結束符之后的信息，jpg圖片還可以把信息隱藏的exif的部分。exif的信息是jpg的頭部插入了數碼照片的信息，比如是用什么相機拍攝 的。這些信息我們也是可以控制的，用查看屬性的方式可以修改一部分的信息，還可以用exif編輯器來進行編輯。Power_exif這個可以用來編輯.
更多請參考http://bobao.360.cn/learning/detail/243.html
參考文章
)
