CTF杂项解题工具箱实战：用PGPTool、Stegsolve和Python搞定BUU‘套娃’题中的加密与隐写
CTF杂项解题工具箱实战：PGPTool与Stegsolve的高阶应用
在CTF竞赛的杂项题目中，"套娃"式多层加密与隐写已成为主流命题方向。去年BSidesSF赛事中那道名为matryoshka的题目，恰好展示了这类题目的典型特征——从邮件附件提取、PGP解密到图片隐写分析，最后还要处理变种Base64编码。本文将分享如何构建自动化工具链来应对这类复合型挑战。
1. 邮件附件提取与预处理
处理EML格式文件时，多数选手会直接使用邮件客户端，但专业CTF选手更青睐脚本化处理。Python的email库能精准提取嵌套附件：
import email with open('attachment.eml', 'rb') as f: msg = email.message_from_binary_file(f) for part in msg.walk(): if part.get_content_disposition() == 'attachment': filename = part.get_filename() with open(filename, 'wb') as attach: attach.write(part.get_payload(decode=True))注意：某些题目会在邮件正文隐藏线索，建议同时解析text/html和text/plain部分
关键工具对比：
| 工具 | 优势 | 适用场景 |
|---|---|---|
| Outlook | 可视化操作 | 快速预览附件结构 |
| Python email | 批量处理 | 自动化解题流程 |
| 010 Editor | 二进制分析 | 异常文件头检测 |
2. PGP解密与密钥管理
传统GPG命令行工具在CTF环境中效率较低，PGPTool的Web界面更适合竞赛场景。实战中常遇到三种密钥场景：
- 已知密码的私钥：直接导入解密
- 暴力破解密码：结合John the Ripper
- 缺损密钥修复：需要分析密钥结构
解密操作流程：
- 访问PGPTool官网导入.key文件
- 输入从二维码获取的密码h4ck_the_plan3t
- 下载解密后的file.bin
常见坑点：某些题目会修改PGP报文格式，导致工具无法识别，此时需要手动修复报文头
3. 文件格式分析与修复
当binwalk显示lzip压缩包时，常规解压失败往往意味着文件头被破坏。010 Editor的二进制修复技巧：
- 查找LZIP魔术字节(4C 5A 49 50)
- 删除前面10字节干扰数据
- 使用lzip命令解压：
lzip -d repaired_file.binPDF文件分析要点：
- 使用pdf-parser检查隐藏对象
- 图片提取命令：
from PyPDF2 import PdfReader reader = PdfReader('file.pdf') for page in reader.pages: for image in page.images: with open(image.name, 'wb') as f: f.write(image.data)4. 图片隐写深度分析
Windows XP经典壁纸"Bliss"在CTF中频繁出现，Stegsolve的进阶用法：
- 通道分析：按左右箭头切换通道，调整亮度阈值
- 帧比对：File→New Window打开原图，Analyse→Image Combiner进行XOR/SUB等运算
- 色阶统计：Analyse→Histogram查看异常峰值
二维码重构技巧：
- 用Python PIL库提取蓝色通道：
from PIL import Image im = Image.open('bliss.png') b, g, r = im.split() b.save('blue_channel.png')- 使用OpenCV进行二值化处理
5. 变种Base64解码实战
非标准Base64在CTF中常见变体：
- 替换+/-字符
- 自定义编码表
- 插入干扰字符
Python解码模板：
import base64 custom_b64 = base64.b64decode(data.replace('-','+').replace('_','/'))对于题目中的特殊编码：
with open('flag.7z','wb') as f: f.write(base64.b64decode(base64data, altchars='-/'))关键参数：altchars必须指定两个替代字符，分别对应标准Base64的+和/
6. 工具链自动化整合
高阶选手会编写自动化处理脚本，典型架构：
- 文件类型识别模块
- 分发给对应处理器
- 结果验证与传递
示例伪代码：
def pipeline(file): filetype = identify(file) if filetype == 'PGP': return decrypt_pgp(file) elif filetype == 'LZIP': return extract_lzip(file) ...在最近三场CTF比赛中，采用工具链自动化方案的队伍解题速度平均提升40%。某战队的开源项目CTFkit已集成本文提到的所有技术模块。