CTF—GIF文件格式、隐写方法及案例

基本概念

GIF（Graphics Interchange Format）是一种用于图像的文件格式，广泛应用于网页和社交媒体。它具有以下几个特点：

​ 1. 颜色限制：GIF使用8位颜色深度，最多可以显示256种颜色。这些颜色来自一个调色板，这使得GIF适用于简单的图形和动画。

​ 2. 无损压缩：GIF使用Lempel-Ziv-Welch (LZW) 算法进行无损压缩，能够在不损失图像质量的前提下减小文件大小。

​ 3. 支持透明度：GIF支持单一颜色的透明选项，使得背景能够透过图像显示。

​ 4. 动画支持：GIF允许将多个图像帧以序列方式存储，从而创建简单的动画效果。

​ 5. 元数据：GIF文件中还包含一些控制信息，如图像尺寸、帧延迟等。

​ 一个GIF文件的结构可分为文件头（File Header）、GIF数据流（GIF Data Stream）和文件结尾（Trailer）三个部分，GIF文件结构如下表所示：

GIF隐写方法

隐写术（Steganography）是指将秘密信息隐藏在其他数据中，以避免被检测。对于GIF格式，可以采用以下几种隐写方法：

1. 像素修改：
   • 在GIF的颜色表中，我们可以通过微小地修改某些像素的RGB值来嵌入信息。例如，将某个像素的红色分量或蓝色分量增加或减少1，以此来表示0或1。
2. 帧间隐藏：
   • 在GIF动画中，可以利用不同帧之间的差异来隐藏信息，例如，通过改变某些帧的特定像素来存储数据。
3. 使用透明像素：
   • 利用GIF的透明色特性，可以在图像中添加一层透明像素，并在这些透明区域内存储数据。
4. 重复图像：
   • 在GIF中复制某些图像帧，稍微修改这些帧的数据，从而在视觉上不易察觉，同时隐藏信息。
5. 改动颜色表：
   • 对于不显著影响整体外观的情况下，可以对GIF的颜色表进行细微修改，以嵌入数据。
6. 延迟时间：
   • 在89a版本中，GIF添加了图形控制扩展块，它是可选的，可以放在一个图像块或文本扩展块的前面，用来控制跟在它后面的第一个图像（或文本）的渲染形式。这一部分有一个“延迟时间”字段，其单位为1/100s（也就是10ms），如果“延迟时间”字段的值为n，则表示暂停10nms后再继续处理数据流。

文件结尾是一个字节的固定值0x3b，用来指示整个文件的结束。

在CTF比赛中，GIF也是高频考点。重点介绍三种常见的GIF隐写方法：

​ 1）追加插入法隐写，就是在GIF文件后插入其他文件。这种隐写非常容易识别。在010 Editor中利用GIF模版进行解析，如果文件结尾后还有其他数据流，那么很可能在GIF后附加了其他文件，将附加数据提取出来做进一步分析即可。

​ 2）基于图像的隐写。GIF中可以包含多个图像，出题人可以在某幅图像傻姑娘隐写信息。我们需要分离出GIF的每幅图片，并针对每幅图片进一步分析。

【例题】Basic.png

【题目来源】2019中石油集团决赛

【题目描述】找到文件中隐藏的信息

【解题思路】把图像放入010 Editor， 根据文件头“GIF89a”，打开PNG模版直接报错，并停止模版加载，下图黄条所示。发现文件应该是GIF文件，但原文件后缀错误。

修改后缀后，使用工具gifsplitter.exe分离GIF中的图像，得到三幅图片，在第2幅图片的底部看到flag{cad39e0e-46cf-498e-a971-84863365f13a}。如下图所示：

3）基于时间的隐写。这种方式非常隐蔽，因为GIF中的每幅图像都会有延迟时间，可以约定不同的延迟时间代表不同的含义，例如延迟100ms代表1，延迟50ms代表0，从而达到传输秘密信息的目的。

【例题】SimpleGIF.gif

【题目来源】2017Xman选拔赛

【题目描述】找到文件中隐藏的信息

【解题思路】GIF文件不能正常打开，将其拖入010 Editor查看，发现缺少头部数据。根据GIF文件头格式，GIF的文件头是“GIF87a”或者“GIF89a”。由于“89a”版本是对“87a”版本的扩充，当不确定GIF版本时，统一按“89a”版本处理即可。因此，我们在头部插入6字节：47 49 46 38 39 61。如下图所示：

下面利用010 Editor在文件中修改文件头，如果右下角是OVR（覆盖），点击一下转成INS（插入），如下图所示：

在第一个字节前单击鼠标左键，然后直接输入“47 49 46 38 39 61”即可，改为“GIF89a”。如下图所示：

将修改后的文件另存为新文件SimpleGIF-new.gif。双击新的GIF文件能够正常显示，说明我们已经修改成功。然后通过工具gifsplitter.exe分离GIF图下，在图像中没有发现明显的flag。

查看图像延迟时间，如下图所示，前两幅图像的延迟时间660ms，从第3幅图像开始，有的是200ms，有的是100ms，猜测可能是利用延迟时间的不同来 隐藏信息。

我们介绍两种提取延迟时间的方法。

方法1: 在Linux系统下使用命令：

identify -format "%s %T \n" SimpleGIF.gif

方法2: 修改010 Editor的GIF模版，择Open Template，可以打开GIF.bt文件，如下图所示：

在GIF模版中添加打印命令，如下图所示：

然后选择Run Template，运行修改后的模版解析文件，解析结果会显示在Output窗口，如下图所示：

显示Output就能看到解析结果，如下图所示：

猜测不同的延迟间隔代表不同的含义，一般默认的间隔是相同的。使用文本编辑器Notepad++替换功能，利用正则表达式替换，将“delay time：”替换为空字符串；再使用一般替换把66替换为空字符串，尝试将20替换为0，10替换为1，替换后的结果如下图所示：

替换后的结果如下图所示，这里没有去除换行符，

将替换后的01字符串和换行符全部复制、粘贴到Koczkatamas工具的BIN行即可按8比特为一组进行解析，得到的flag是：XMAN{96575beed4dea18ded4735643aecfa35}。如下图所示：