杂项 (Misc) 方法论

隐写术 (Steganography)

图片隐写

• 基础检查：file、exiftool 查看元数据、strings 搜索隐藏文本
• LSB 隐写：stegsolve 查看各 bit plane、zsteg 自动检测
• 文件拼接：binwalk -e 提取嵌入文件、foremost 文件恢复
• GIF 隐写：逐帧分析，identify 分解帧
• PNG：检查 IDAT 块、CRC 校验、IEND 之后的数据
• JPG：检查 EXIF 注释、APP 段、EOI 之后的数据
• 盲水印：频域分析、两张图片异或

音频隐写

• 频谱图：Audacity 或 sox 查看频谱，可能隐藏图像
• LSB：音频 LSB 嵌入数据
• DTMF：电话拨号音编码
• SSTV：慢扫描电视信号，RX-SSTV 解码

文本隐写

• 零宽字符：Unicode 零宽空格/连接符隐藏信息
• Snow：空白字符（空格、Tab）编码
• Unicode 同形字：视觉相同但编码不同的字符

流量分析

PCAP 分析流程

1. 协议统计：Statistics -> Protocol Hierarchy
2. 会话分析：Statistics -> Conversations
3. 字符串搜索：Strings (Ctrl+F) 搜索 flag、password 等关键字
4. 导出对象：File -> Export Objects -> HTTP/DNS/SMB

常见协议

• HTTP：追踪流 (Follow TCP Stream)，检查请求/响应体
• DNS：子域名编码数据（DNS tunneling）
• FTP：ftp-data 传输的文件内容
• SMTP/POP3：邮件内容和附件
• USB：键盘流量还原击键（HID usage ID 表）
• 蓝牙：L2CAP 数据重组

工具

tshark -r capture.pcap          # 命令行 Wireshark
tshark -r cap.pcap -Y "http"    # 过滤 HTTP
tcpflow -r capture.pcap         # TCP 流重组
NetworkMiner                    # 网络取证工具

取证分析

磁盘取证

• Autopsy/Sleuth Kit：磁盘镜像分析
• 文件恢复：photorec、testdisk
• 时间线分析：fls、mactime

内存取证

• Volatility：内存镜像分析框架
• 常用命令：
  • imageinfo：识别操作系统
  • pslist/psscan：进程列表
  • filescan/dumpfiles：文件恢复
  • hashdump：提取密码哈希
  • clipboard：剪贴板内容

系统日志

• Windows：事件日志 (.evtx)、注册表、Prefetch
• Linux：/var/log/、.bash_history、/etc/passwd

编码与转换

• CyberChef：在线编解码瑞士军刀
• 常见编码：Base64/32/16、URL、HTML entity、Unicode
• 进制转换：二进制、八进制、十进制、十六进制
• 摩尔斯电码：. - 编码
• 猪圈密码：图形替换密码
• 旗语：手旗信号编码

OSINT (开源情报)

• 图片搜索：Google 以图搜图、TinEye
• 元数据：exiftool 提取 GPS 坐标、设备信息
• 社工：用户名搜索、社交媒体分析
• Wayback Machine：网页历史快照