文件隐藏
常见文件头尾
jpg 文件头FFD8FFE0 文件尾FFD9
png 文件头89504E470D0A1A0A 文件尾AE426082
gif 文件头47494638 文件尾003B
zip 文件头504B0304 文件尾
rar 文件头Rar! 文件尾
7zip 文件头7z集' 文件尾
文件分析
工具
binwalk,kali中集成工具，用于分析文件中所包含的内容，使用方法为binwalk picturename
# binwalk carter.jpg
DECIMAL HEXADECIMAL DESCRIPTION
--------------------------------------------------------------------------------
0 0x0 JPEG image data, JFIF standard 1.01
382 0x17E Copyright string: "Copyright (c) 1998 Hewlett-Packard Company"
3192 0xC78 TIFF image data, big-endian, offset of first image directory: 8
140147 0x22373 JPEG image data, JFIF standard 1.01
140177 0x22391 TIFF image data, big-endian, offset of first image directory: 8
以上执行结果说明这个jpg文件还隐藏着另一个jpg文件，从140147块偏移开始就是另一张jpg
文件分离
binwalk
binwalk -e filename会将结果保存在当前文件夹下
dd命令分离
dd命令详解
dd if=carter.jpg of=carter-1.jpg skip=140147 bs=1
这里if是指定输入文件，of是指定输出文件，skip是指定从输入文件开头跳过140147个块后再开始复制，bs设置每次读写块的大小为1字节
使用foremost工具分离
foremost是一个基于文件文件头和尾部信息以及文件的内建数据结构恢复文件的命令行工具，使用方式：foremost picturename,当我们使用这行命令后，foremost会自动生成output目录存放分离出文件
修改后缀名
针对利用copy命令，将两个文件以二进制方式连接起来的方式进行的图片隐写术， 即使用命令copy /b example.jpg+hide.zip output.jpg生成output.jpg的新文件，可以将文件直接改为后缀名为.zip的文件，然后直接解压即可。
修改数据
LSB来进行隐写
SB也就是最低有效位 (Least Significant Bit)。原理就是图片中的像数一般是由三种颜色组成，即三原色，由这三种原色可以组成其他各种颜色，例如在PNG图片的储存中，每个颜色会有 8bit，LSB隐写就是修改了像数中的最低的1bit，在人眼看来是看不出来区别的，也把信息隐藏起来了。譬如我们想把’A’隐藏进来的话，就可以把A转成16进制的0x61再转成二进制的01100001，再修改为红色通道的最低位为这些二进制串。
如果是要寻找这种LSB隐藏痕迹的话，可以使用Stegsolve辅助我们进行分析，使用使用Stegsolve打开文件，然后点击下面的“>” "
在这个过程中，我们要注意到，隐写的载体是PNG的格式，如果是像之前的jpg图片的话就是不行的，原因是jpg图片对像数进行了有损的压缩，你修 改的信息可能会被压缩的过程破坏。而PNG图片虽然也有压缩，但却是无损的压缩，这样子可以保持你修改的信息得到正确的表达，不至于丢失。BMP的图片也 是一样的，是没有经过压缩的，可以发现BMP图片是特别的大的，因为BMP把所有的像数都按原样储存，没有压缩的过程
gif数据隐写
使用Stegsolve还可以按帧对gif进行查看，查找其中隐写的内容，操作方法为Stegsolve——Analyse——Frame Browser。或者可以使用Namo_GIF_gr进行查看。
载体
数据在隐藏的时候，我们常常是需要先分析是数据隐藏在哪里，也就是他在利用是什么做载体，之后才可以进一步的分析是加密或编码的。这也就是说我们要 对一个图片的格式要有了解，才能知道哪些地方是可疑的，哪些是可以隐藏起信息的，会有冗余的成分在。举个例子吧，比如给了一个jpg的图片。除了我们之前 说到的隐藏在结束符之后的信息，jpg图片还可以把信息隐藏的exif的部分。exif的信息是jpg的头部插入了数码照片的信息，比如是用什么相机拍摄 的。这些信息我们也是可以控制的，用查看属性的方式可以修改一部分的信息，还可以用exif编辑器来进行编辑。Power_exif这个可以用来编辑.
更多请参考http://bobao.360.cn/learning/detail/243.html
参考文章
)
