https://swkima-dev.github.io/ctf-writeups/tags/forensics/Recent content in Forensics on picoCTF / picoGym WriteupsHugo -- 0.152.2jaMon, 17 Nov 2025 16:23:57 +0900https://swkima-dev.github.io/ctf-writeups/posts/picogym-hidden-in-plainsight/Mon, 17 Nov 2025 16:23:57 +0900https://swkima-dev.github.io/ctf-writeups/posts/picogym-hidden-in-plainsight/<h2 id="問題リンク">問題リンク</h2> <p><a href="https://play.picoctf.org/practice/challenge/524">https://play.picoctf.org/practice/challenge/524</a></p> <h2 id="概要">概要</h2> <p>画像ファイルからフラグを探してねというもの</p> <h2 id="予備知識">予備知識</h2> <h3 id="ステガノグラフィ">ステガノグラフィ</h3> <p>CTFにはステガノグラフィという分野があり、今回の問題はこれ</p> <p>以下のサイトが役に立つはず</p> <ul> <li><a href="https://speakerdeck.com/kuroiwasi/cpawctf-steganography?slide=63">https://speakerdeck.com/kuroiwasi/cpawctf-steganography?slide=63</a></li> <li><a href="https://blog.hamayanhamayan.com/entry/2022/12/14/234257">https://blog.hamayanhamayan.com/entry/2022/12/14/234257</a></li> </ul> <h2 id="解き方">解き方</h2> <p>ダウンロードしたimgファイルを普通に画像ファイルとして見ても何もわからないので、 fileコマンドを試す</p> <pre tabindex="0"><code>❯ file img.jpg img.jpg: JPEG image data, JFIF standard 1.01, aspect ratio, density 1x1, segment length 16, comment: &#34;c3RlZ2hpZGU6Y0VGNmVuZHZjbVE9&#34;, baseline, precision 8, 640x640, components 3 </code></pre><p>commentが明らかに怪しいので、base64でデコードすると</p> <pre tabindex="0"><code>❯ echo &#34;c3RlZ2hpZGU6Y0VGNmVuZHZjbVE9&#34; | base64 -d steghide:cEF6endvcmQ= </code></pre><p>steghideという文字列と、その後ろにさらに謎の文字列が出てきた</p> <p>ちなみに、steghideで検索するとステガノグラフィで有名なツールの名前らしい</p> <p>→「steghideでフラグが埋め込まれたjpgファイルなのでは？」と推測</p> <p>&ldquo;steghide:&ldquo;の後ろの文字列をbase64でさらにデコードすると</p> <pre tabindex="0"><code>❯ echo &#34;cEF6endvcmQ=&#34; | base64 -d pAzzword </code></pre><p>なんかパスワードっぽいことがわかったので、後はsteghideをインストールして extractモードでフラグを探してみる</p> <p>(steghideのインストールは省略)</p> <p>使い方は簡単で、&ldquo;Enter passphrase:&ldquo;の後にさっきの&quot;pAzzword&quot;を入れるだけ</p> <pre tabindex="0"><code>❯ steghide extract -sf img.jpg Enter passphrase: wrote extracted data to &#34;flag.txt&#34;. </code></pre><p>flag.txtの中身がpicoCTF{h1dd3n_1n_1m4g3_67479645}となっているので、多分これがフラグ</p>https://swkima-dev.github.io/ctf-writeups/posts/picogym-riddle-registry/Mon, 17 Nov 2025 10:42:40 +0900https://swkima-dev.github.io/ctf-writeups/posts/picogym-riddle-registry/<h2 id="問題ページ">問題ページ</h2> <p><a href="https://play.picoctf.org/practice/challenge/530">https://play.picoctf.org/practice/challenge/530</a></p> <h2 id="概要">概要</h2> <p>捜査官としてPDFからフラグを見つけろというもの</p> <h2 id="解き方">解き方</h2> <p>PDFを開いて見える黒塗の部分はダミーなので無視 pdfをエディタで開いて、authorの部分をBase64でデコードするだけ</p> <pre tabindex="0"><code>❯ echo &#34;cGljb0NURntwdXp6bDNkX20zdGFkYXRhX2YwdW5kIV80MjQ0MGM3ZH0\075&#34; | base64 -d picoCTF{puzzl3d_m3tadata_f0und!_42440c7d} </code></pre>