拿到一张CTF图片，图题方别急着右键看属性。片隐先跑一遍 file 和 exiftool，写解这两个命令能帮你排除掉一半的图题方“假线索”。我见过太多人一上来就扔进Stegsolve乱点，片隐结果浪费二十分钟，写解最后发现flag就明晃晃写在EXIF的图题方Comment字段里。

图片隐写这玩意儿，片隐核心就一句话：数据藏在你看不见的写解地方，或者你看见了但没意识到那是图题方数据。

第一层：元数据与文件结构

JPEG的片隐EXIF、PNG的写解tEXt块、GIF的图题方注释扩展，这些都是片隐最基础的藏匿点。用 exiftool image.jpg 扫一遍，写解重点看Artist、Copyright、Comment、ImageDescription这些字段。有时候出题人会直接把base64塞进去，解码就是flag。

PNG还有个经典套路——zsteg。这工具专治PNG的LSB隐写，zsteg -a image.png 能把所有通道的低位数据都扒出来。有一次比赛，flag被拆成三段分别藏在R、G、B三个通道的最低位，肉眼完全看不出来，zsteg一跑全出来了。

第二层：附加数据与文件拼接

很多题目会把一个zip或者另一张图片直接追加到原图末尾。binwalk image.jpg 能自动识别这种拼接结构。如果看到有嵌入文件，binwalk -e image.jpg 直接提取。更粗暴的方法是用 foremost 或者 dd 手动切割。

还有一种情况：图片本身没问题，但文件头被改了。比如把PNG的文件头改成JPEG，导致查看器打不开。这时候用十六进制编辑器看前几个字节，对照文件签名表修复就行。我遇到过把 FF D8 改成 89 50 的，改回来图片就能正常显示，flag就在图里。

第三层：像素级隐写

LSB（最低有效位）是最常见的像素隐写方式。原理很简单：每个像素的RGB值最低位改动，人眼根本察觉不到，但信息就藏在那里。Stegsolve的“Data Extract”功能可以按通道、按位平面提取数据。关键是要试不同的位平面组合——有时候是R通道的第0位，有时候是G通道的第1位，出题人不会告诉你。

调色板图片（比如GIF或PNG-8）还有另一种玩法：调色板索引的顺序可以编码信息。这种题用Stegsolve看“Colour Palette”就能发现异常排序。

第四层：视觉隐写

把图片调暗、调对比度、反色，有时候能看到隐藏的文字或图案。Photoshop的“色阶”工具拉一下，或者用Stegsolve的“Frame Browser”逐帧查看GIF。有一道题是把flag用接近白色的像素写在白色背景上，正常看完全是一片白，调一下色阶就显出来了。

还有更阴间的：把信息藏在图片的Alpha通道里。PNG支持透明度，出题人可以把flag写进Alpha通道，而大多数看图软件默认忽略Alpha的RGB值。Stegsolve切到Alpha通道一看，清清楚楚。

工具链与实战建议

常用工具就那几个：binwalk、foremost、exiftool、zsteg、Stegsolve、stegsolve的Java版、pngcheck。Python的PIL库也经常用，自己写几行脚本提取像素值比等工具快得多。

我的习惯是：先file+exiftool，再binwalk，然后zsteg，最后Stegsolve。这个顺序能覆盖八成以上的题目。剩下的两成，要么是自定义算法，要么是结合了加密。遇到自定义算法，看源码或者逆向后写脚本提取；遇到加密，先找密钥——密钥往往就藏在图片的某个角落，或者元数据里。

别忽略图片的文件名和题目描述。“flag.png”和“secret.png”可能暗示不同的方向，“look closer”可能提示你放大看像素，“what you see is not what you get”基本就是LSB没跑了。

最后说一句：CTF图片隐写考的不是工具用得多熟，而是你对图片文件格式的理解有多深。知道JPEG的DCT系数怎么存、PNG的IDAT块怎么组织、GIF的帧怎么排列，比会点十个工具按钮管用得多。

(责任编辑：探索)