08067ctf-Misc-SimpleRAR-WriteUp

SimpleRAR

题目分析

题目给了一个RAR文件，用winrar软件打开，有警告信息。

再此条件下打开flag.txt，里面没有有效信息。
由于警告信息我们可以想到，rar文件可能存在问题，用winhex打开看一下码流

文件头和文件尾均正确，我们看到了码流中有png文件标识，但是在我们打开文件时并没有看到这个png文件。rar文件由各种块组成，我猜测可能是png文件所在的文件块出错了，检查一下png文件所在的块，看是否有损坏。png文件所在块的块头在上一个块的结尾，上一个块是txt类型的文件块，txt文件尾在txt内容结束的位置。

可见head_type的值是错误的，这是一个文件块，所以head_type的值是0x74，我们修改完后，就可以正常打开rar文件

打开这个png文件，全是空白没有可利用信息，用winhex打开看看

可以看到这是个gif文件，于是修改文件扩展为.gif。gif内容也是空白，于是用stegsolve查看，在灰色位（gray bits）看到了半个二维码，题目中提示双图层，可以用ps打开看一下图层，我们发现有两个图层，将两个空白图层导出为png格式。用stegsolve查看，在灰度位中看到两个残缺的二维码。

用ps将二维码合并，合并后发现这个二维码的位置探测图形有残缺，这里我用Photoshop将这个二维码的位置探测额图形补充完整，得到如下所示的二维码

位置探测图形：由三个黑白相间的大正方形嵌套组成，分别位于二维码左上角、右上角、左下角，目的是为了确定二维码的大小和位置。

扫描二维码得到

总结

了解RAR、png、gif的文件结构，会分析码流。
了解图层的的概念。
二维码的位置探测图形要会补全。
会使用stegsolve

参考资料

二维码详解
百度百科-图层
RAR文件格式分析

工具下载

链接：https://pan.baidu.com/s/1QrApFK720tVcBvY9J83lQQ
提取码：w3mp