BaseCTF Week3 Web 与 Misc 解题思路

解密思路：

1. 逆向混淆函数：confuse 本质是加法运算，可以通过减法逆推。注意 iv 初始值来源于原图 (1, 1) 像素的 R 通道。
2. 利用单色特点：单色图像的 RGB 值相同，这有助于验证还原结果。

还原脚本：

from PIL import Image

def ez_sub(h, e, f, g):
    global iv
    a = (h - e - f - g - iv) % 256
    iv = (e + f + g + iv) % 256
    return a

def unconfuse(data):
    r, g, b, a = data
    for _ in range(8):
        r = ez_sub(r, g, b, a)
    return r, g, b, a

def unconfuse_image(img):
    global iv
    iv = img.getpixel((1, 1))[0]
    flag = Image.new('RGBA', (img.width, img.height))
    for w in range(img.width):
        for h in range(img.height):
            flag.putpixel((w, h), unconfuse(img.getpixel((w, h))))
    return flag

if __name__ == '__main__':
    iv = 0
    img = Image.open('en_image.png')
    flag = unconfuse_image(img)
    flag.save('de_image_decrypted.png')

运行脚本得到 de_image_decrypted.png 后，使用 Stegsolve 查看 red plane 0 层即可发现 flag。

最终 Flag：BaseCTF{there_1s_the_flag@}

2. 纯鹿人

题目描述： 附件为一个文档，提示中包含 Base64 编码字符串。

解题过程：

1. 初步尝试：将文档中的表情包保存后用 WinHex 查看，未发现有明显异常。搜索关键词也未发现直接线索。
2. 格式转换：参考上周类似题目的解法，尝试将文档后缀改为 .zip。
3. 文件分离：修改后缀后，使用 WinHex 检查文件头，确认存在 ZIP 结构。使用 foremost 工具进行分离，提取出新的 zip 文件。
4. 解压获取：分离出的 zip 文件密码为 ikunikun，解压后即可获得 flag。

注：关于此类隐写技巧，可参考相关 CTF-MISC 隐写总结文章。

3. 我要吃火腿！

题目描述： 附件包含一个文本文件和一个图片文件，文本内容看似乱码或特殊符号。

解题过程：

1. 文本解码：文本内容为兽音咆哮体，通过在线兽音翻译工具解码，获得关键信息。
2. XOR 解密：根据提示，对图片文件进行 XOR 异或操作。密钥为 Ham 对应的十六进制 [0x48, 0x61, 0x6D]。

解密脚本：

def xor_with_ham_decrypt(input_file, output_file):
    ham_bytes = [0x48, 0x61, 0x6D]
    with open(input_file, 'rb') as f:
        data = bytearray(f.read())
    for i in range(len(data)):
        data[i] ^= ham_bytes[i % 3]
    with open(output_file, 'wb') as f:
        f.write(data)

# 执行解密
xor_with_ham_decrypt('Ham.jpg', 'Hamorl.jpg')

3. 文件头修复：解密后的 Hamorl.jpg 文件头损坏，无法直接打开。手动修改文件头为 JPEG 标准头 ffd8ffe1 并保存。
4. 查看结果：修复后的图片正常显示，从中提取 flag。

至此，本周 Misc 部分的解题思路已整理完毕。遇到文件损坏类问题时，记得先检查文件头是否被篡改。