Forensics on picoCTF Writeup

information

Wed, 15 Jul 2026 02:20:00 +0800

題目連結

https://learn.cylabacademy.org/library/186

題目解法

下載後得到一個 cat.jpg 檔案根據提示了解到要查看圖片的 “detail”，使用 exiftool 或其他 exif 查看的工具可以查看圖片的詳細資料如光圈、拍攝時間、地點等資訊。

$ exiftool cat.jpg
ExifTool Version Number : 13.50
File Name : cat.jpg
Directory : .
File Size : 878 kB
File Modification Date/Time : 2025:12:12 14:21:14-05:00
File Access Date/Time : 2026:07:14 14:26:00-04:00
File Inode Change Date/Time : 2026:07:14 14:26:12-04:00
File Permissions : -rw-rw-r--
File Type : JPEG
File Type Extension : jpg
MIME Type : image/jpeg
JFIF Version : 1.02
Resolution Unit : None
X Resolution : 1
Y Resolution : 1
Current IPTC Digest : 7a78f3d9cfb1ce42ab5a3aa30573d617
Copyright Notice : PicoCTF
Application Record Version : 4
XMP Toolkit : Image::ExifTool 10.80
License : cGljb0NURnt0aGVfbTN0YWRhdGFfMXNfbW9kaWZpZWR9
Rights : PicoCTF
Image Width : 2560
Image Height : 1598
Encoding Process : Baseline DCT, Huffman coding
Bits Per Sample : 8
Color Components : 3
Y Cb Cr Sub Sampling : YCbCr4:2:0 (2 2)
Image Size : 2560x1598
Megapixels : 4.1

在 License 的地方是一串亂碼

CanYouSee

Wed, 01 Jul 2026 17:00:00 +0800

題目連結

https://learn.cylabacademy.org/library/408

題目解法

下載並解壓縮後得到一張 .jpg 檔，使用 exiftool 檢查發現一串可疑的資料

$ exiftool ukn_reality.jpg
ExifTool Version Number : 13.50
File Name : ukn_reality.jpg
Directory : .
File Size : 2.3 MB
File Modification Date/Time : 2024:02:15 17:40:17-05:00
File Access Date/Time : 2026:07:01 05:16:50-04:00
File Inode Change Date/Time : 2026:07:01 05:16:41-04:00
File Permissions : -rw-r--r--
File Type : JPEG
File Type Extension : jpg
MIME Type : image/jpeg
JFIF Version : 1.01
Resolution Unit : inches
X Resolution : 72
Y Resolution : 72
XMP Toolkit : Image::ExifTool 11.88
Attribution URL : cGljb0NURntNRTc0RDQ3QV9ISUREM05fNGRhYmRkY2J9Cg==
Image Width : 4308
Image Height : 2875
Encoding Process : Baseline DCT, Huffman coding
Bits Per Sample : 8
Color Components : 3
Y Cb Cr Sub Sampling : YCbCr4:2:0 (2 2)
Image Size : 4308x2875
Megapixels : 12.4

Attribution URL 的資料很可疑，像是使用 base64 編碼後的內容，解碼後即可得到 flag。

Secret of the Polyglot

Fri, 08 May 2026 20:35:00 +0800

題目連結

https://learn.cylabacademy.org/library/423

題目解法

下載題目的檔案後發現是一個 .pdf 檔，打開後有後半段 flag

1n_---------------5c0}

根據提示可以知道要以不同方式打開檔案，用十六進位編輯器打開可以發現開頭是 PNG。

00000000: 8950 4e47 0d0a 1a0a 0000 000d 4948 4452 .PNG........IHDR
00000010: 0000 0032 0000 0032 0806 0000 001e 3f88 ...2...2......?.
00000020: b100 0001 8569 4343 5049 4343 2070 726f .....iCCPICC pro
00000030: 6669 6c65 0000 2891 7d91 3d48 c340 1cc5 file..(.}.=H.@..
00000040: 5f53 a5a2 1511 3b88 0866 a80e 6241 54c4 _S....;..f..bAT.

將附檔名改成 .png 即可以圖片方式打開，得到前半段 flag。

picoCTF{f1u3n7_

picoCTF{f1u----------------------5c0}

Ph4nt0m 1ntrud3r

Thu, 07 May 2026 01:15:00 +0800

題目連結

https://learn.cylabacademy.org/library/459

題目解法

下載後得到一個 myNetworkTraffic.pcap 檔案，可以使用 wireshark 開啟。開啟後用時間排序後如圖

可以發現每個封包結尾有一段使用 base64 編碼的資料，而且封包編號 1 的解碼內容是 picoCTF，接著將時間在封包 1 之後的字串複製出來並解碼即可得到 flag。

cGljb0NURg==
ezF0X3c0cw==
bnRfdGg0dA==
XzM0c3lfdA==
YmhfNHJfZA==
NGI1NzkwOQ==
fQ==

picoCTF{1t_----------------------------909}

Scan Surprise

Mon, 04 May 2026 01:10:00 +0800

題目連結

https://learn.cylabacademy.org/library/444

題目解法

下載並解壓縮後得到一張 QR code，掃描即可得到 flag。可以拿手機掃描，或是線上掃描工具也可以。

picoCTF{p33-------------77c}

Verify

Mon, 04 May 2026 01:10:00 +0800

題目連結

https://learn.cylabacademy.org/library/450

題目解法

根據題目敘述可以得知要從 file 中找到使用 sha256 雜湊之後指定值的檔案。

使用 ssh 連線進去後，使用 sha256sum 指令來查看檔案經過 sha256 雜湊之後的值，加上 grep 指令可以過濾指定的內容。

ctf-player@pico-chall$ sha256sum files/* | grep "fba9f49bf22aa7188a155768ab0dfdc1f9b86c47976cd0f7c9003af2e20598f7"
fba9f49bf22aa7188a155768ab0dfdc1f9b86c47976cd0f7c9003af2e20598f7 files/87590c24

使用 ./decrypt.sh 腳本加上找到的檔案即可得到 flag。

ctf-player@pico-chall$ ./decrypt.sh files/87590c24
picoCTF{tru-------------------c24}

RED

Sat, 02 May 2026 22:30:00 +0800

題目連結

https://learn.cylabacademy.org/library/460

題目解法

下載檔案後發現是 .png 檔，使用 strings 指令得到下面這段文字，是一首藏頭詩，內容是 CHECKLSB。
LSB 指的是 Least Significant Bit，也就是將資料藏在每個像素中最不明顯的一位元，用肉眼無法察覺。

webshell:~$ strings red.png
IHDR
tEXtPoem
Crimson heart, vibrant and bold,
Hearts flutter at your sight.
Evenings glow softly red,
Cherries burst with sweet life.
Kisses linger with your warmth.
Love deep as merlot.
Scarlet leaves falling softly,
Bold in every stroke.x
IDATx
IEND

要找到使用 LSB 隱藏的資料，可以使用 zsteg 這個工具。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


webshell:~$ zsteg red.png
meta Poem .. text: "Crimson heart, vibrant and bold,\nHearts flutter at your sight.\nEvenings glow softly red,\nCherries burst with sweet life.\nKisses linger with your warmth.\nLove deep as merlot.\nScarlet leaves falling softly,\nBold in every stroke."
b1,rgba,lsb,xy .. text: "cGljb0NURntyM2RfMXNfdGgzX3VsdDFtNHQzX2N1cjNfZjByXzU0ZG4zNTVffQ==cGljb0NURntyM2RfMXNfdGgzX3VsdDFtNHQzX2N1cjNfZjByXzU0ZG4zNTVffQ==cGljb0NURntyM2RfMXNfdGgzX3VsdDFtNHQzX2N1cjNfZjByXzU0ZG4zNTVffQ==cGljb0NURntyM2RfMXNfdGgzX3VsdDFtNHQzX2N1cjNfZjByXzU0ZG4zNTVffQ=="
b1,rgba,msb,xy .. file: OpenPGP Public Key
b2,g,lsb,xy .. text: "ET@UETPETUUT@TUUTD@PDUDDDPE"
b2,rgb,lsb,xy .. file: OpenPGP Secret Key
b2,bgr,msb,xy .. file: OpenPGP Public Key
b2,rgba,lsb,xy .. file: OpenPGP Secret Key
b2,rgba,msb,xy .. text: "CIkiiiII"
b2,abgr,lsb,xy .. file: OpenPGP Secret Key
b2,abgr,msb,xy .. text: "iiiaakikk"
b3,rgba,msb,xy .. text: "#wb#wp#7p"
b3,abgr,msb,xy .. text: "7r'wb#7p"
b4,b,lsb,xy .. file: 0421 Alliant compact executable not stripped

可以發現輸出結果中有一段亂碼明顯是使用 base64 編碼後的文字，將其解碼即可得到 flag。

DISKO 1

Sat, 02 May 2026 19:10:00 +0800

題目連結

https://learn.cylabacademy.org/library/505

題目解法

使用 wget 下載檔案後，用 gunzip 解壓縮。
```
gunzip disko-1.dd.gz
```
根據提示得知要使用 strings 指令，不過輸出的內容太多，因此使用 grep 過濾輸出內容，即可找到 flag。
```
webshell:~$ strings disko-1.dd | grep "picoCTF"
picoCTF{1t5--------------------2ef}
```

Corrupted file

Sat, 02 May 2026 18:30:00 +0800

題目連結

https://learn.cylabacademy.org/library/519

題目解法

下載檔案後，根據題目提示可以知道檔案是一個 .jpg 檔案，使用十六進位編輯器查看也可以看到開頭有 JFIF。
不過單純將附檔名修改成 .jpg 是無法打開的，因為檔案有被修改過。正常 .jpg 檔案開頭應該是 FF D8 FF，但是現在檔案開頭是 5C 78 FF。修改完畢後打開就可以得到 flag。
```
picoCTF{r3s----------------------558}
```

Flag in Flame

Sat, 02 May 2026 18:00:00 +0800

題目連結

https://learn.cylabacademy.org/library/523

題目解法

下載檔案根據提示知道要使用 base64 解碼，可以使用 base64 指令進行解碼。
```
base64 -d logs.txt > img.png
```

使用 file 指令可以知道是 .png 檔案。

webshell:~$ file img.jpg
img.jpg: PNG image data, 896 x 1152, 8-bit/color RGB, non-interlaced

將圖片中的內容用 hex 解碼後即可得到 flag。

7069636F4354467B666F72656E736963735F616E616C797369735F69735F616D617A696E675F35636363376362307D

picoCTF{for--------------------------------cb0}

提示

假設是使用 picoCTF 提供的 webshell，要將檔案下載到本地，可以使用 sz 指令。

sz img.png

Hidden in plainsight

Sat, 02 May 2026 17:30:00 +0800

題目連結

https://learn.cylabacademy.org/library/524

題目解法

下載檔案後使用 file 指令查看檔案資訊，發現 comment 的內容像是使用 base64 編碼的文字。

webshell:~$ file img.jpg
img.jpg: JPEG image data, JFIF standard 1.01, aspect ratio, density 1x1, segment length 16, comment: "c3RlZ2hpZGU6Y0VGNmVuZHZjbVE9", baseline, precision 8, 640x640, components 3

將 comment 解碼後得到：
```
steghide:cEF6endvcmQ=
```
將後半段再次使用 base64 解碼後得到：
```
pAzzword
```

根據解碼內容可以得知要使用 steghide，密碼為 pAzzword。

webshell:~$ steghide extract -sf img.jpg
Enter passphrase:
wrote extracted data to "flag.txt".

得到 flag.txt。

webshell:~$ cat flag.txt
picoCTF{h1d------------------cd0}

Riddle Registry

Sat, 02 May 2026 04:30:00 +0800

題目連結

https://learn.cylabacademy.org/library/530

題目解法

下載得到 confidential.pdf 後，打開會發現很多用黑色擋住的文字，但是不重要，重要的是根據題目提示我們要查看 pdf 檔案的 metadata。要查看 metadata 可以使用 pdf 閱讀器或是 exiftool(推薦)、pdfinfo 指令來查看，也可以用 strings 指令。

webshell:~$ exiftool confidential.pdf
ExifTool Version Number : 12.40
File Name : confidential.pdf
Directory : .
File Size : 178 KiB
File Modification Date/Time : 2025:11:07 19:17:33+00:00
File Access Date/Time : 2026:05:01 20:29:29+00:00
File Inode Change Date/Time : 2026:05:01 20:29:29+00:00
File Permissions : -rw-rw-r--
File Type : PDF
File Type Extension : pdf
MIME Type : application/pdf
PDF Version : 1.7
Linearized : No
Page Count : 1
Producer : PyPDF2
Author : cGljb0NURntwdXp6bDNkX20zdGFkYXRhX2YwdW5kIV9jMjA3MzY2OX0=

可以看到 Author 欄位是一串由英文字母及數字且 = 結尾的亂碼，可以推斷是 base64 編碼，解碼後得到 flag。

Binary Digits

Sat, 02 May 2026 04:15:00 +0800

題目連結

https://learn.cylabacademy.org/library/698

題目解法

下載 digits.bin，內容都是由 0 和 1 組成，使用 cyberchef 的 From Binary 解碼後，會得到一串亂碼。
下載解碼露的檔案並放入 16 進位編輯器（如 HxD）中，會發現檔案開頭有 JFIF，因此可以猜測是 .jpg 的圖片檔。
將副檔名改為 .jpg 或是直接在 cyberchef 選擇 Render image 就能得到有 flag 的圖片。
```
picoCTF{h1d-----------------------b0a}
```