[[401437]]

01 隱寫術

隱寫術（Steganography）是一門關于信息隱藏的技巧與科學，所謂信息隱藏指的是不讓除預期的接收者之外的任何人知曉信息的傳遞事件或信息的內容。隱寫術的起源可以追溯到動植物界中存在的“擬態”，是一種很好的自我保護方式。

與加密技術相比，隱寫術的主要特點為：隱藏傳輸的信息是嵌入在一個看似無關聯的載體上進行的。而加密通信是通過算法的偽裝使信息不可破解。由于隱寫術選擇的信息載體具有迷惑性，而其信息本身仍然可以使用算法進行混淆，因此，隱寫術的檢測比一般加密算法的破解更復雜。

在古代，隱寫術又叫密寫術，古人用明礬水在紙上寫字，晾干后看不出痕跡，但只要浸入水中字跡就能顯示出來，這是簡單的化學原理的應用。除了明礬，古人也用米湯水寫字，再用碘酒顯形。

到了互聯網時代，計算機的普及使隱寫術又有了質的飛躍。現代隱寫術的發展，主要表現在幾個分支：語言隱寫、數字媒體信息隱藏、文件系統隱寫術、網絡流量隱寫等。

語言隱寫主要是通過對載體文字語言的段落、語序或更換同義詞的方式來完成的。數字媒體隱寫利用了修改編碼、修改顯著位使信息暫時不可見，或是將隱藏信息寫入到一些不顯著位，難以察覺地替換了原有信息并將替換方法告知接收方從而提取隱藏信息。文件系統隱寫是指利用當前文件系統的特殊技巧，使隱藏信息的文件不會正常顯示出來。網絡流量隱寫指將數據重新拆分編碼為獨立的數據流，并將其混入不易察覺的網絡流量中進行發送。

02 數字水印

數字水印技術，是指將特定的信息嵌入數字信號中，用來體現版權所有者的技術。數字信號可能是音頻、圖片或視頻等。數字水印可分為浮現式和隱藏式兩種，前者是可被看見的水印，一般來說，浮現式的水印通常包含版權擁有者的名稱或標志。電視臺在畫面角落所放置的標志，也是浮現式水印的一種。隱藏式水印是隱寫術的一種信息隱藏方法，用來避免數字媒體文件未經授權的拷貝和使用。

因為數字水印的在日常生活中的普遍使用和其代表版權的重要作用，也要求其有如下幾個特性。

安全性：水印信息應當難以篡改和偽造。

隱蔽性：水印對感官不可知覺，水印的嵌入不能影響被保護數據的可用性大大降低。不具備這一特性的水印，稱為可見水印。

強健性：水印能夠抵御對嵌入后數據的一定操作，而不因為一些細微的操作而磨滅。包括數據的傳輸中產生的個別位錯誤、圖像/視頻/音頻的壓縮。不具備這一特性的水印，稱為脆弱水印。

水印容量：載體可以嵌入水印的信息量大小。

水印生成技術：偽隨機生成、擴頻水印生成、混沌水印生成、糾錯編碼水印生成、基于分解的水印生成、基于變換的水印生成、多分辨率水印生成和自適應水印生成等。

水印的嵌入技術：加性和乘性嵌入、量化嵌入、替換嵌入、自適應嵌入等。

水印的檢測技術：分為3種不同假設方法的實現，即對待檢測信號的統計特性的假設、噪聲的統計特性的假設和對嵌入技術的假設。

03 文本隱寫

文本隱寫即是在文本中添加隱藏信息內容，對于不同的載體內容，可分為兩類：有格式文本隱寫和無格式文本隱寫。

有格式文本隱寫，如word、html等文件格式，文本內容可以被加上各種語法而表示為不同的顯示方式，因此有較多的隱寫途徑。如設字體顏色與背景色相同起到混淆作用、將字體變小到肉眼難以察覺、用不同的語言隱藏信息、將信息隱藏到注釋中等方法。同時也可將信息利用拆分重編碼的方式轉換成更多更小的信息塊，甚至轉化為二進制數后以多種方式表示為0和1，如每行行首是否有空格、每行行間距為單倍還是1.5倍、每個字字間距倍數，字體的大小和顏色等都可以作為信息的隱藏方式。

無格式文本隱寫，如txt等純文本文件，隱藏信息的方式也有多種，如每個字間的空格、標點符號的布局、單詞和拼音的首字母組等方式，也可能是大量可讀或不可讀文本中隱藏了一小句關鍵信息等。

04 圖片隱寫

圖片隱寫即是在圖片中添加隱藏信息，信息可以隱藏在圖片頭部、圖片中間以及圖片末尾的等地方。

隱藏在頭部，可以是圖片信息的摘要、日期、作者、標題等說明信息。

隱藏在圖片中，可以根據圖片格式的特殊性質，在每一個模塊的最后添加隱藏信息而不破壞原圖的顯示，或添加在一些特殊作用不被顯示的模塊中以達到隱藏效果。同時，也可以采用一些隱寫算法進行寫入，如典型空域隱寫中的LSB隱寫，將隱藏信息轉化為二進制數據，以較低位按位寫入信息的方法，將數據寫入而不引起較大的色差。擴張方法還有MLSB，對多位隱寫減少被發現的可能性。此外，還有 DCT 域隱寫，利用多點比較的邏輯結果隱藏二進制0或1，較常見的有Jsteg隱寫、F5隱寫、OutGuess隱寫、MB隱寫等算法。

如圖1所示是一張基于LSB隱寫信息的圖，但是根本看不出有任何異樣。

[[401438]]

圖1  基于LSB隱寫示例

隱藏在圖片末尾，由于圖片格式的規定，用一些特殊字符作為圖片的結尾，在這一字符后的部分不再被當作圖片內容處理，因此，可以將任意多的隱藏信息寫在圖片末尾而對圖片的顯示沒有任何影響。網上流傳的將圖片后綴名改為 zip 即可解壓的文件就是在正常圖片后面追加了一個zip文件做成的。

1. StegSolve

最經典的圖片隱藏信息查看工具是一款 Java 環境下的小工具 StegSolve。該工具不僅可以自動分析圖片格式，得出隱藏在文件頭、文件塊、文件末尾等處的冗余信息，還可以按位查看圖片，分析其中的隱藏內容，也支持雙圖比較，用于得出圖片差隱藏的信息。對于動態圖片，StegSolve 可以將其分解為單幀保存查看，是一款用于隱寫圖片分析的強大工具，圖2即為利用StegSolve查看紅色第4位像素。

圖2  利用StegSolve查看紅色第4位像素

同樣利用StegSolve分析上述隱寫圖片，可以發現隱藏信息，該信息隱藏在RGBA中的綠色通道最低位，再按列排列所有二進制串，將二進制串相連每 8個二進制數解釋為一個ASCII字符，即可得到隱藏字符內容，如圖3所示。

圖3  隱藏信息

2. Binwalk

Binwalk 本身是一款文件分析工具，可用來提取文件及幫助完成逆向工程等工作。通過自定義簽名，提取規則和插件模塊，且有很強的可擴展性。在這里同樣可以利用Binwalk分析圖片中隱藏的文件。對于上述圖片，可以執行如下命令。

binwalk（圖片名） 

得到分析結果如下。 

>binwalk puppy.png  
* suggest: you'd better to input the parameters enclosed in double quotes.  
DECIMAL HEXADECIMAL DESCRIPTION 
-------------------------------------------------------------------------------  
0 0x0 PNG image,256 x 256,8-bit/color RGBA,non-interlaced  
41 0x29 Zlib compressed data,default compression  
49613 0xC1CD RAR archive data,first volume type: MAIN_HEAD 

從結果中可以看出該文件從0～40位為PNG圖片的頭部信息，標注了其規格和位數。從40～49 612位為Zlib壓縮數據，其中，PNG、Gzip、Zlib用的是同一種壓縮算法default，因此，這一塊也就是PNG圖片的數據部分。而最后49 613～文件末尾還有一塊卻標注了RAR格式數據，這并不屬于 PNG 的正常文件部分，因此它是隱藏數據信息，同樣可利用如下命令分離每一塊數據部分。 

binwalk –e（圖片名） 

得到一個_（圖片名）.extracted 文件夾，其中為原圖分離出來的各個部分內容，可以看到之前分析得到的隱藏數據壓縮包，在對其解壓得到的txt文件中發現了隱藏內容。

05 音頻隱寫

同圖片一樣，存在著大量冗余信息和噪聲的音頻同樣可以用來隱藏信息，不同于圖片對每個點的像素進行描述，音頻是對每一個時間點的聲音信息進行描述，并且該聲音中仍舊存在“不重要信息位”，利用對它的修改，可以達到信息隱藏的目的。

此外，音頻也存在著一些有趣的隱寫方式，如將另一段需要隱藏的音頻減小音量、降低頻率等處理后插入原有音頻，或加入多個聲道。也可以將其反轉、快放、慢放等方式使其變得不引人注目，從而達到隱藏目的。

另一種方法，還可以在其波形圖中加入信息，如圖4所示的Morse密碼形式。

圖4  Morse密碼形式

同樣，在音頻的頻譜圖中也可以隱藏信息，如圖5所示是通過頻譜圖分析得到的效果。

圖5  頻譜圖分析

1. Audacity

Audacity 是一款免費的音頻處理軟件，其操作界面簡單卻有著專業的音頻處理能力。它支持WAV、MP3、Ogg Vorbis或其他的聲音文件格式，支持MP4、MOV、WMA、M4A、AC3等視頻格式，可用于錄音與放音，對聲音做剪切、復制、粘貼（可撤消無限次數），波封編輯雜音消除，支持多音軌混音、多聲道模式，采樣率最高可至96 kHz，每個取樣點可以以24 bit表示。在隱寫分析上，其操作簡單、顯示效果直觀，便于分析和測試。

2. FFmpeg

FFmpeg是一套可以用來記錄、轉換數字音頻和視頻，并能將其轉化為流的開源計算機程序。它提供了錄制、轉換以及流化音視頻的完整解決方案。它包含了非常先進的音頻/視頻編解碼庫 libavcodec，支持 Windows和Linux 平臺，可以用于視頻等文件的隱寫及分析。

06 文件修復

數據以一定的格式存儲在硬件設備中，由于硬盤老化、外力作用或程序出錯、病毒破壞等原因，造成了數據損壞，因此，需要文件修復方法使損失降到最低。

1. TestDisk

TestDisk是一款開源磁盤修復工具，可以修復由于軟件缺陷或某些病毒導致的分區丟失或分區表丟失導致磁盤無法啟動的問題。TestDisk通過BIOS（DOS/Win9x）或操作系統（Linux、FreeBSD）查詢硬盤特性（LBA大小和CHS參數）。然后會快速檢查磁盤數據結構并恢復分區表，同時也能用來恢復誤刪除的文件。圖6所示為使用TestDiskgui版本恢復已刪除文件。

圖6  TestDisk文件修復

2. Pcapfix

Pcapfix是一款修復損壞pcap文件的工具。它會檢查一個完整的pcap全局頭，如果有任何損壞字節，就會修復它，如果缺少一個字節，它會創建和補充一個新的字節到文件的開頭，然后試圖找到pcap頭并檢查和修復它。使用方法如下。 

pcapfix x.x.0(c)2012-2021 Robert Krause  
Usage: pcapfix[OPTIONS]filename 
OPTIONS: -d ,--deep-scan Deep scan(pcap only)  
-n ,--pcapng force pcapng format  
-o<file>,--outfile<file> set output file name  
-t<nr> ,--data-link-type<nr> Data link type  
-v ,--verbose Verbose output 

3. Winhex

Winhex 是一款Windows平臺下功能強大的十六進制文件編輯器，利用該軟件，可以查看和修改文件存儲在硬盤中的具體數值，甚至是內存中程序動態存放的數值也可以進行操作。利用該工具可以查看基于文件格式的隱藏數據。如圖7所示為利用Winhex查看文件十六進制發現最后的隱藏rar文件。

圖7  Winhex查看文件