眼见非实misc

本文详细介绍了如何使用010 Editor识别和破解ZIP/RAR伪加密压缩包，揭示伪加密的本质与识别特征。通过实战指南，读者可以掌握二进制编辑器操作技巧，快速定位并修改关键字节，有效应对CTF竞赛和日常运维中的伪加密陷阱。

前言：写这篇博客很犹豫，毕竟是自学可能有很多错误的地方，望大佬指点！ 目录 0×01.zip文件格式及伪加密 0×02.暴力破解 0×03.明文攻击 0×04.CRC爆破 0×01.zip文件格式及伪加密 这就是一个zip文件的格式。 压缩源文件数据区： 50 4B 03 04：这是头文件标记（0x04034b50） 14 00：解压文件所需 pkware 版本 00 00：全局方式位标记（...

实例 压缩源文件数据区： 50 4B 03 04：这是头文件标记（0x04034b50） 14 00：解压文件所需 pkware 版本 09 00：全局方式位标记（有无加密） 头文件标记后2bytes 08 00：压缩方式 50 A3：最后修改文件时间 A5 4A：最后修改文件日期 21 38 76 65：CRC-32校验（1480B516） 19 00 00 00：压缩后尺寸（25） 17 00 00 00：未压缩尺寸（23） 08 00：文件名长度 00 00：扩展记录长度 66 6C 61 67 2

压缩源文件数据区开始50 4B 03 04是头文件标记，14 00是解压文件所需 pkware 版本，00 00是扩展记录长度，01 00是全局方式位标记（有无标记），01是加密标记，确认第一位改成任意偶数即可。压缩源文件目录结束标志尾部，50 4B 05 06是目录结束标记，第一个00 00是当前磁盘编号，第二个00 00是目录区开始磁盘编号，01 00是同样为加密位修改成和全局方式标记位相同偶数即可。猜测是个伪加密， 01 00是全局方式位标记（有无标记），01是加密标记，确认第一位改成任意偶数即可。

BugKu是一个由乌云知识库（wooyun.org）推出的在线漏洞靶场。乌云知识库是一个致力于收集、整理和分享互联网安全漏洞信息的社区平台。BugKu旨在提供一个实践和学习网络安全的平台，供安全爱好者和渗透测试人员进行挑战和练习。它包含了各种不同类型的漏洞场景，如Web漏洞、系统漏洞、密码学等，参与者需要通过解决这些漏洞来获取Flag。

Bugku CTF练习题—MISC—眼见非实 **flag：flag{F1@g} ** 解题步骤： 1、观察题目，下载附件 2、拿到手以后发现是一个压缩包，打开是一个Word文档，观察其中的内容，除了开头的PK没有发现任何有用的信息，判断是压缩包格式 3、改为压缩包之后，发现其中有好多个文件，接下来通过全局搜索发现document.xml这个文件有点东西，打开看一下 4、发现flag答案位置，如下图 5、复制提交答案，完成 博客园地址：https://www.cnblogs.com/redHskb

BugKu CTF(杂项篇MISC)—眼见非实 眼见非实BugKu CTF(杂项篇MISC)—眼见非实题目一、工具二、解题思路三、总结 题目 题目是1个压缩包，里面放了1个word文档。 一、工具 十六进制工具 010 editor编辑器 二、解题思路 1.先把压缩包解压，得到眼见为实word文档，结果发现文档打不开。提示内容有错误。 2.用010 editor编辑器打开，看一看文件头。 3.504B0304这是zip压缩包的文件头，因此把word文档后缀改为zip压缩包。改完后再重新打开压缩包。

眼见非实 题目给出的一个叫zip的文件。用winhex打开。 由文件头的504B0304可以得知这是一个压缩包，后缀改为zip。解压出来是一个word文档。打开以后发现…… 发现都是乱码，又看到了PK，那么怀疑它可能是一个压缩包，毕竟word文档本身就是一个压缩包。将docx改为zip，解压之后在word文件夹下的document.xml中发现了flag。 （这里截图是本人...

下载文件，拿到手以后发现是一个压缩包，打开是一个Word文档，观察其中的内容，除了开头的PK没有发现任何有用的信息，判断是压缩包格式。改为压缩包之后，发现其中有好多个文件，接下来通过全局搜索发现document.xml这个文件有点东西，打开看一下。发现flag答案位置。

——CTF解题专栏——分享我的解题过程

先把文件下载下来 先Binwalk跑一下 binwalk zip 发现是zip，直接改名为1.zip，打开 发现一个叫眼见非实的word文档 继续Binwalk跑一下 binwalk 眼见非实.docx 发现还是zip，改后缀为zip，打开 里面有一个眼见非实的文件夹，里面有一些xml 网上的writeup都是直接去xml里找的，我换种方法 如果你熟悉的话这些xml很容易看出是word文档的xml 新建一个压缩文件，把文件夹里的东西全部扔进去，然后改后缀为docx 打开 Flag在这里呦！ 去wor

1.点击下载后，出来的文件什么也没有，file是压缩包，用010 Editor打开文件。3.然后点开发现有很多文件，那我们就点击查找，输入flag就能找到flag所在文件。2.把docx改为zip。

眼见非实题目解题思路思路一 题目 题目是给了一个文件，让你从文件中寻找flag。 但是我们直接打开文件却发现文件打不开。 解题思路 思路一 因为我们发现文件打不开，因此我们首先猜想这个文件中是不是隐藏了其他的文件。因此用binwalk工具查看该文件： ...

** Bugku Misc 眼见非实(ISCCCTF) ** 作为我们这种misc小白来说还算刚好的题目了 这道题下载下来一个zip文件，用winhex打开 发现文件头为504b0304 看了大佬博客 https://blog.csdn.net/qq_42777804/article/details/90300859 知这是一个zip文件的文件头 于是乎 修改其后缀为.zip格式 发现这个文件的...

虽然这个flag很怪，但还是对的。在document发现。给了一个 文件，看看。欸，变成了一个文件夹。

丢进010 Editor试试（我的文件是压缩过的，所以是zip文件）然后用虚拟机打开（从网上一些大佬那里学的...）打开题目，下载附件，打开后一群乱码。看一下图，就可以找到flag。点击第一个·，然后得到。

下载下来是file.zip，看到压缩包我选择先解压，很好，没有密码，解压后得到一个文件。将文件用010Editor打开，发现文件头50 4B 03 04，zip文件的重要标识。里面文件一个一个打开查看，在document.xml里面发现flag！将.docx后缀改为.zip,解压得到一堆。压缩包ZIP文件头标识由固定值。

本文介绍了三种查找被修改后缀名的文件内容的方法。首先通过文件头特征判断真实格式（如PK开头为压缩包），然后：1）手动解压查看；2）在Linux中使用grep命令递归搜索；3）在Windows下使用findstr命令全局查找。重点是利用文件特征识别真实类型，并通过不同系统的搜索命令快速定位目标内容，适用于文件后缀被修改的情况。