Week 1

其实就只打了week1的misc（

Misc

打好基础

Challenge

😛 ENJOY HGAME！

text

1🐲👝🐱👁👠👮👌👞👂🐬🐽🐡👎👮🐪🐿🐾👞🐨👕🐫👤👏👟👍👉🐲👑👍👀👔👭🐩👮🐾👏🐮👑🐨🐩🐠👯👡🐮👍🐨👒🐘🐨🐮👔👍🐸🐥🐡👇🐶👝👏👱🐺👀👌🐢🐦🐦👟👂👮👝🐡🐳🐰👒👄👡🐶👤👀👴🐯🐭🐛👱👎👫🐭🐢🐫👨👭👬👌👲👧🐘🐮👊👕👊👦🐥👎👈👟🐴👈🐭🐶👭🐥🐡🐽👓🐨👝👛🐡👕🐫🐡🐽👯👱👌👁👡🐫🐲🐡🐲🐟🐶👪🐭👳👌👖👲👡👈👯🐘👇🐫🐡👈🐰👕👡🐩👎👁🐳👒👡👣👨👞👞🐫👠👈🐽🐲👤🐩👎👂🐤👟🐬👤🐴👣👛👃👳🐽🐢👃👀🐨👧🐠👎🐹👓👢🐼🐳👁🐱👚🐳👭🐨👔👍🐠👥🐸🐱🐣🐸👖🐰👓🐬👄🐳👱👐👉🐢👝🐠🐤👯👀👎👥🐤👔🐨👊👊👃🐽👱🐪👱👚👍🐵🐶👎🐻👛🐤👂🐳🐾🐟🐨👢👍👥🐼👟👕👙👣🐡👣👭🐿👦🐩👂👬🐞🐢👋🐠👙🐶🐤👥👋🐲👱🐩👕🐝🐺🐯👴👍🐡🐦🐰👍🐨👋👔👤🐚🐻👐🐽👟🐴🐷👎🐴👫👀👤🐦👡🐥👡🐵🐸🐺👫👛👮👲🐬👯👌👔👙👉🐷🐺👁👅🐪👒👈👕👅🐯🐩🐝👰👚👌👂🐵🐽

Solution

Base100 -> Base92 -> Base91 -> Ascii85 -> Base64 -> Base62 -> Base58 -> Base45 -> Base32

FLAG

text

1hgame{L4y_a_sO11d_f0unDaTi0n}

shiori不想找女友

Challenge

Tremse正在帮Shiori找女友,但是他现在找不到Shiori了！但是他留下了他的头像，你可以帮我找找他在哪里吗🙏

Solution

查看 exif 发现 User Comment 藏有信息

json

1{"block": 1, "start_x": 10, "start_y": 10, "step_x": 7, "step_y": 7, "column_num": 450}

放大图片发现图片有整齐排列的点，猜测上面的提示是指从 shiori.png 的 (10, 10) 坐标开始，以 x 方向步长 7、y 方向步长 7 的间隔拾取像素，共 450 列，编写脚本提取像素组成新的图片

python

1from PIL import Image2import math3 4def extract_pixels(input_file, output_file, rules):5    try:6        # 打开源图像7        src_img = Image.open(input_file)8        src_img = src_img.convert("RGB") # 确保是RGB模式9        width, height = src_img.size10        11        # 获取规则参数12        block = rules.get("block", 1)13        start_x = rules.get("start_x", 0)14        start_y = rules.get("start_y", 0)15        step_x = rules.get("step_x", 1)16        step_y = rules.get("step_y", 1)17        out_cols = rules.get("column_num", 100)18        19        extracted_pixels = []20 21        # 遍历源图像提取像素22        # 假设按行优先顺序扫描 (先X后Y)23        # 注意：这里采用了两层循环遍历整个图，按照步长提取24        for y in range(start_y, height, step_y):25            for x in range(start_x, width, step_x):26                # 检查边界27                if x + block <= width and y + block <= height:28                    # 获取像素 (这里处理 block=1 的情况，直接取点)29                    # 如果 block > 1，通常需要决定如何处理块（取平均值或左上角），这里默认取左上角像素30                    pixel = src_img.getpixel((x, y))31                    extracted_pixels.append(pixel)32 33        # 计算输出图像的高度34        total_pixels = len(extracted_pixels)35        if total_pixels == 0:36            print("未提取到任何像素，请检查规则和图像尺寸。")37            return38 39        out_rows = math.ceil(total_pixels / out_cols)40        41        # 创建新的空白图像42        out_img = Image.new("RGB", (out_cols, out_rows), (0, 0, 0))43        44        # 填充像素45        for i, pixel in enumerate(extracted_pixels):46            x = i % out_cols47            y = i // out_cols48            out_img.putpixel((x, y), pixel)49            50        # 保存输出图像51        out_img.save(output_file)52        print(f"成功提取 {total_pixels} 个像素，已保存至 {output_file}")53        print(f"输出尺寸: {out_cols} x {out_rows}")54 55    except FileNotFoundError:56        print(f"错误: 找不到文件 {input_file}")57    except Exception as e:58        print(f"发生错误: {e}")59 60# 定义规则61params = {62    "block": 1,63    "start_x": 10,64    "start_y": 10,65    "step_x": 7,66    "step_y": 7,67    "column_num": 45068}69 70# 运行提取71if __name__ == "__main__":72    extract_pixels("shiori.png", "output.png", params)

得到提示 This_is_a_key_for_u，这是压缩包的密码

解压后的图片存在 LSB 隐写，在 StegSolve 找一个比较好看出来的 Plane （比如 Green Plane 0）识图转文字即可

FLAG

text

1hgame{bec0use_lilies_are_7he_b1st}

[REDACTED]

Challenge

兔兔说她对一份机密文件进行了“完美的”脱敏处理。还好你在发送之前检查了一下。

提交说明： 附件中包含四段敏感字符串，格式为 [1-4]:.+。用下划线字符 _ 连接去掉序号的四段字符串，包裹 hgame{} 后提交。例如，若四段敏感字符串分别为 1:Example、2:Redacted、3:Secret、4:Strings_!，则提交的 flag 为 hgame{Example_Redacted_Secret_Strings_!}。

Solution

1:PAR4D0X

2:AllCl3arToPr0ceed

3:Sh4m1R

至此浮于表面的答案都找到了，还没仔细研究过这个 PDF 文件本身

先使用 pdfid 初步扫描文件

bash

1┌──(kali㉿kali)-[~/Desktop]2└─$ pdfid manual.pdf3PDFiD 0.2.10 manual.pdf4 PDF Header: %PDF-1.75 obj                  1106 endobj               1107 stream                238 endstream             239 xref                   210 trailer                211 startxref              212 /Page                  3          <----------13 /Encrypt               014 /ObjStm                015 /JS                    016 /JavaScript            017 /AA                    018 /OpenAction            019 /AcroForm              020 /JBIG2Decode           021 /RichMedia             022 /Launch                023 /EmbeddedFile          024 /XFA                   025 /Colors > 2^24         0

PDF 就只有 2 页，但 pdfid 扫出来 3 页，这咋看都不对劲，可能是通过修改 PDF 目录结构隐藏了一页

用 pdf-parser 进一步分析

bash

1┌──(kali㉿kali)-[~/Desktop]2└─$ pdf-parser manual.pdf3This program has not been tested with this version of Python (3.13.3)4Should you encounter problems, please use Python version 3.12.25PDF Comment '%PDF-1.7\n'6 7PDF Comment '%\xc2\xb5\xc2\xb6\n\n'8 9obj 1 010 Type: /Page11 Referencing: 59 0 R, 101 0 R, 2 0 R12 13  <<14    /Type /Page15    /Parent 59 0 R16    /Resources 101 0 R17    /MediaBox [0 0 521.2913 737.2913]18    /Tabs /S19    /StructParents 020    /Contents 2 0 R21  >>22 23...24 25obj 59 026 Type: /Pages27 Referencing: 101 0 R, 1 0 R, 7 0 R, 34 0 R28 29  <<30    /Type /Pages31    /Resources 101 0 R32    /Kids [1 0 R 7 0 R 34 0 R]33    /Count 334  >>35 36...37 38obj 59 039 Type: /Pages40 Referencing: 101 0 R, 7 0 R, 34 0 R41 42  <<43    /Type /Pages44    /Resources 101 0 R45    /Kids [7 0 R 34 0 R]46    /Count 247  >>48 49...

通过检查输出中的页树根节点（/Pages，即 Object 59），发现了文件被篡改的痕迹：

原始定义（Object 1, 7, 34）：

text

1obj 59 02Type: /Pages3Kids [1 0 R 7 0 R 34 0 R]          <----------4Count 3

增量更新（Object 7, 34）：

text

1obj 59 02Type: /Pages3Kids [7 0 R 34 0 R]          <----------4Count 2

Object 1 就是被隐藏的第一页，定位到隐藏页 Object 1：

text

1obj 1 02 Type: /Page3 Referencing: 59 0 R, 101 0 R, 2 0 R45  <<6    /Type /Page7    /Parent 59 0 R8    /Resources 101 0 R9    /MediaBox [0 0 521.2913 737.2913]10    /Tabs /S11    /StructParents 012    /Contents 2 0 R          <----------13  >>

它指向 Object 2 作为其内容流，提取并解压 Object 2 的数据：

bash

1┌──(kali㉿kali)-[~/Desktop]2└─$ pdf-parser -o 2 -f manual.pdf3This program has not been tested with this version of Python (3.13.3)4Should you encounter problems, please use Python version 3.12.25obj 2 06 Type: 7 Referencing: 8 Contains stream9 10  <<11    /Length 14512    /Filter /FlateDecode13  >>14 15 b'0.1 w\n/Artifact BMC\nq 0 0.028 521.263 737.263 re\nW* n\nEMC\n/P<</MCID 0>>BDC\nq 0 0 0 rg\nBT\n200.8 367.841 Td /F1 12 Tf<010203040506070809070A0B070C0D0E090B09>Tj\nET\nQ\nEMC\nQ '

-o 2: 指定对象 ID 2
-f: 自动处理过滤器

从输出得到了一段 PostScript 绘图指令，其中包含一段可疑的内容：/F1 12 Tf <010203040506070809070A0B070C0D0E090B09> Tj

这里的 <010203040506070809070A0B070C0D0E090B09> 是字体的 Character ID 索引，这段文字使用了自定义的字体映射

现在需要找到字体 F1 的映射表来还原真实文本

text

1obj 1 02 Type: /Page3 Referencing: 59 0 R, 101 0 R, 2 0 R45  <<6    /Type /Page7    /Parent 59 0 R8    /Resources 101 0 R          <----------9    /MediaBox [0 0 521.2913 737.2913]10    /Tabs /S11    /StructParents 012    /Contents 2 0 R13  >>

先找到 Object 1 资源由 Object 101 定义，接着查看 Object 101 的定义

text

1obj 101 02 Type: 3 Referencing: 100 0 R, 50 0 R45  <<6    /Font 100 0 R          <----------7    /XObject8      <<9        /Im50 50 0 R10      >>11    /ProcSet [/PDF/Text/ImageC/ImageI/ImageB]12  >>

找到字体映射关系存储在 Object 100 中，接着查看 Object 100 的定义

text

1obj 100 02 Type: 3 Referencing: 64 0 R, 79 0 R, 84 0 R, 89 0 R, 74 0 R, 69 0 R, 94 0 R, 99 0 R45  <<6    /F1 64 0 R          <----------7    /F2 79 0 R8    /F3 84 0 R9    /F4 89 0 R10    /F5 74 0 R11    /F6 69 0 R12    /F7 94 0 R13    /F8 99 0 R14  >>

找到 /F1 指向 64 0 R，接着查看 Object 64 的定义：

text

1obj 64 02 Type: /Font3 Referencing: 62 0 R, 63 0 R45  <<6    /Type /Font7    /Subtype /TrueType8    /BaseFont /BAAAAA+CMUTypewriter-Light9    /FirstChar 010    /LastChar 1811    /Widths [0 525 525 525 525 525 525 525 525 525 525 525 525 525 525 525 525 525 525]12    /FontDescriptor 62 0 R13    /ToUnicode 63 0 R          <----------14  >>

这表明 Object 63 存储了从 CID 到 Unicode 的映射表，提取映射表：

bash

1┌──(kali㉿kali)-[~/Desktop]2└─$ pdf-parser -o 63 -f manual.pdf3This program has not been tested with this version of Python (3.13.3)4Should you encounter problems, please use Python version 3.12.25obj 63 06 Type: 7 Referencing: 8 Contains stream9 10  <<11    /Length 30412    /Filter /FlateDecode13  >>14 15 b'/CIDInit/ProcSet findresource begin\n12 dict begin\nbegincmap\n/CIDSystemInfo<<\n/Registry (Adobe)\n/Ordering (UCS)\n/Supplement 0\n>> def\n/CMapName/Adobe-Identity-UCS def\n/CMapType 2 def\n1 begincodespacerange\n<00> <FF>\nendcodespacerange\n18 beginbfchar\n<01> <0034>\n<02> <003A>\n<03> <0044>\n<04> <0030>\n<05> <0063>\n<06> <0052>\n<07> <0033>\n<08> <0071>\n<09> <0075>\n<0A> <0073>\n<0B> <0074>\n<0C> <0072>\n<0D> <005F>\n<0E> <0054>\n<0F> <0031>\n<10> <0050>\n<11> <0041>\n<12> <0058>\nendbfchar\nendcmap\nCMapName currentdict /CMap defineresource pop\nend\nend\n'

得到映射表内容 Object 63：

text

1<01> <0034>2<02> <003A>3<03> <0044>4<04> <0030>5<05> <0063>6<06> <0052>7<07> <0033>8<08> <0071>9<09> <0075>10<0A> <0073>11<0B> <0074>12<0C> <0072>13<0D> <005F>14<0E> <0054>15<0F> <0031>16<10> <0050>17<11> <0041>18<12> <0058>

最后将 Object 2 中的十六进制串逐字节对照 Object 63 的映射表进行替换即可得到 4:D0cR3qu3st3r_Tutu

也可以直接用 foremost 提取

最后拼起来即可得到 flag

text

1hgame{PAR4D0X_AllCl3arToPr0ceed_Sh4m1R_D0cR3qu3st3r_Tutu}