winhex
WinHex的核心是通用的十六進制編輯器，在計算機取證，數據恢復，低級數據處理和IT安全領域特別有用。日常和緊急使用的高級工具：檢查和編輯各種文件，從文件系統損壞的硬盤驅動器或數碼相機卡中恢復已刪除的文件或丟失的數據——來自官網介紹
界面
功能介紹
菜單欄：提供了所有功能的入口
工具欄：常用功能的快捷方式
案件數據區：主要用於取證
橫縱坐標偏移：標識數據中每一個字節的偏移地址
十六進制數據區：顯示數據的十六進制形式的內容
文本字符區：根據相應的字符集，顯示數據的字符形式的內容
詳細面板：顯示當前打開文件的詳細信息
數據解釋器：顯示當前鼠標所點字節的10進制，8進制等內容，並可以右鍵->選項，進行相應的配置，如選擇大端還是小端，無符號還是有符號
底部顯示區：分別顯示：當前頁數，當前所點字節偏移地址，字節的十進制，所選塊數據（如果選擇了一塊數據的話）的起止偏移地址，選擇數據塊的大小。通過點擊相應位置有如下功能：
跳轉相應頁面
跳轉到相應偏移地址
設置該處顯示的數據形式
選擇數據塊
上述一些功能都可通過工具欄“查看”選項，選擇顯示與否
ctf中常用操作
右鍵->搜索->復制選塊 可以將數據復制到新文件中或者以16進制數據等形式進行復制
如果要插入數據，可以選中要插入的位置 右鍵->搜索->粘貼0字節，輸入要插入的字節數
通過工具欄的搜索，或者ctrl+F，可以搜尋特定字符或數據
binwalk
kali自帶該工具
項目地址：https://github.com/ReFirmLabs/binwalk
- -B,-- signature 掃描目標文件的常見文件簽名
- -A,--opcodes掃描目標文件中常見可執行代碼
- -e,--extract自動提取已知的文件類型
- -D,--dd = 文件類型。提取指定的文件類型
- -M,--matryoshka 遞歸掃描提取的文件
- -d,--depth = 數字。設置遞歸提取的深度深度(默認值:8)
- -C,--directory = 路徑。將文件/文件夾提取到自定義目錄(默認為當前工作目錄)
stegsolve
需要java環境
功能介紹
打開圖片。
可以通過下面“<”和“>”兩個按鈕查看圖片的灰度圖，xor，RGBg各個通道等的情況，如下圖顯示blue的最低位時的情況
五個功能，如下圖
File Format 查看圖片中數據的詳細信息
Data Extract:數據提取。如果有lsb隱藏的數據，可以通過下圖，選擇RGB各通道的最低位，在上方顯示出來，或者保存成一個文件
Steregram Solve:使圖像左右偏移
Frame Browser:幀瀏覽器，主要對GIF之類的動圖進行分解
Image Combiner：通過下面的按鈕對兩張圖片進行加，減，乘，異或，與，或等運算操作。如下圖打開一張相同圖片后，進行異或變為全黑的圖
stegdetect
通過統計分析技術評估JPEG文件的DCT頻率系數，它可以檢測到通過JSteg、JPHide、OutGuess、Invisible Secrets、F5、appendX和Camouflage等這些隱寫工具隱藏的信息，並且還具有基於字典暴力破解密碼方法提取通過Jphide、outguess和jsteg-shell方式嵌入的隱藏信息。項目地址：https://github.com/abeluck/stegdetect
- -q 僅顯示可能包含隱藏內容的圖像。
- -n 啟用檢查JPEG文件頭功能，以降低誤報率。
- -s 修改檢測算法的敏感度，該值的默認值為1。檢測結果的匹配度與檢測算法的敏感度成正比，算法敏感度的值越大，檢測出的可疑文件包含敏感信息的可能性越大。
- -d 打印帶行號的調試信息。
- -t 設置要檢測哪些隱寫工具（默認檢測jopi），可設置的選項如下：
- j 檢測圖像中的信息是否是用jsteg嵌入的。
- o 檢測圖像中的信息是否是用outguess嵌入的。
- p 檢測圖像中的信息是否是用jphide嵌入的。
- i 檢測圖像中的信息是否是用invisible secrets嵌入的。
- -V 顯示軟件版本號
foremost
根據頁眉，頁腳和內部數據結構恢復，分離文件
- -v -顯示版權信息並退出
- -t -指定文件類型。(-t jpeg、pdf…)
- -i 指定輸入文件(默認為stdin)
- -o -設置輸出目錄(默認為當前目錄output文件夾下)
F5-steganography
用於f5隱寫算法提取和隱藏，需要java環境
項目地址：https://github.com/matthewgao/F5-steganography
運行：在工具文件夾下運行
java Extract 含有秘密的文件 -p 口令
MP3stego
音頻隱寫工具
隱寫：encode -E 秘密文件 -P 口令 載體音頻 生成的新的音頻
提取信息：decode -X -P 口令 含秘密信息的文件