CTF Misc 工具选型指南：按题型分类的工具、原理与限制

摘要

Misc（杂项）是 CTF 中缺乏固定解题范式的分类。其赛题输入不具备统一的载体形式------可能为图像、音频、归档文件、网络流量捕获或主机配置文件。因此工具选型无法依据单一标准确定，而须依据输入载体的类型 与待检测的数据通道确定。

本文按载体类型对该方向常用工具进行分类说明。每项工具采用统一的五段式描述：功能定位、技术原理、操作要点、已知限制、版本与获取状态。描述中的版本号、许可证与链接可用性均经核实，来源见附录 B；未能核实者予以显式标注。

文末附一个 Windows 工具包，各组件均为解压即可运行的形式。

---

1. 分类框架与选型原则

1.1 载体分类

载体类型	典型载体	主要待检测通道
图像	PNG、BMP、JPEG、GIF	像素最低有效位、调色板索引、文件结构字段、追加数据
音频	WAV、MP3	时域波形、频域能量分布、采样值最低有效位
归档	ZIP、RAR、7z	加密标记字段、口令、CRC32 校验值
网络流量	pcap、pcapng	应用层载荷、USB HID 报告、协议字段
主机取证	内存镜像、磁盘镜像、配置文件	进程与文件对象、NTFS 备用数据流、凭据字段

1.2 选型原则

1. 格式优先：先确定载体的真实格式，再选择工具。文件扩展名不可信，应以文件头（magic number）为准。

2. 低成本通道优先：可读字符串提取与结构字段检查的计算成本远低于密码学攻击，应优先执行。

3. 字段级定位优先于全量解密：若缺陷位于文件结构字段（如加密标记位），直接修补字段即可，无需实施解密。

4. 已知明文优先于穷举：当满足攻击前提时，已知明文攻击的复杂度显著低于暴力穷举。

---

2. 图像类

2.1 技术背景：位平面与最低有效位隐写

图像隐写中应用最广的方法为最低有效位（Least Significant Bit, LSB）替换。

对采用 8 位量化精度的图像，每个像素的每个颜色通道由一个 8 位整数表示。将某通道的全部像素按位展开，可得到 8 个位平面（bit plane）：位平面 7 为最高有效位，决定图像的主要视觉结构；位平面 0 为最低有效位，其对像素值的贡献仅为 1/256。

LSB 隐写即利用这一权重差异：将秘密数据的比特依次写入各通道的位平面 0（或低位平面）。由于单比特翻转造成的像素值变化不超过 1 个量化级，人眼不可察觉，而将位平面 0 单独渲染为二值图像后，嵌入的信息将以高对比度形式显现。

该方法的检出手段即逐通道、逐位平面可视化。

2.2 StegSolve

功能定位

Java 实现的图像查看器，用于逐通道、逐位平面检视图像，并支持帧序列浏览与位平面数据批量提取。

技术原理

以指定通道的指定位平面为数据源，将每个像素该位的取值（0 或 1）映射为黑或白，生成单色位图并显示。其 Data Extract 功能则将多个位平面的比特按指定顺序（LSB First 或 MSB First）串接为字节流，可直接导出为文件。

操作要点

目的	操作路径
打开图像	File → Open
切换通道与位平面	左右方向键；左下角显示当前通道与位号（如 Blue 0）
批量提取位平面数据	Analyse → Data Extract，勾选 RGBA 目标位，选择位序，Preview 预览
逐帧浏览动画	Analyse → Frame Browser
解三维立体图	Analyse → Stereogram Solver

已知限制

现象	成因与处置
双击 jar 无响应	未安装 Java 运行环境，或 .jar 未关联至 javaw。可用 java -version 验证
报 NoClassDefFoundError: com/sun/image/codec/jpeg/...	JDK 9 起移除了 com.sun.image.codec.jpeg 包。改用 JDK 8 或 11 运行可规避。该异常并非普遍现象 ：StegSolve-1.4.jar 的 class 文件主版本号为 52（对应 Java 8），经测试可在 Java 17 环境下正常运行
依说明解压 jar 后运行内部文件并持续报错	jar 为可执行归档，不应解压。应使用 javaw -jar <绝对路径> 直接运行
1.4 版本部分功能不可用	1.4 存在功能回归，社区存在对 1.3 版本的持续需求。建议保留两个版本以便对照
alpha 通道提取结果异常	提取结果与通道排列顺序相关，需将 alpha 通道置于首位

版本与获取状态

原分发地址 caesum.com/handbook/Stegsolve.jar 现返回 HTTP 404（服务器在线，文件已下线）。当前主流镜像仓库为 Giotino/stegsolve。该仓库未附许可证文件，GitHub 未识别其许可证类型。

2.3 无需工具的场景：PNG 尺寸字段篡改

部分赛题修改 PNG 的高度字段，导致图像无法打开或下半部分呈现异常。此类题目无须专用工具。

结构解析

PNG 文件由 8 字节签名与若干数据块（chunk）构成。每个数据块的结构为：

长度(4 字节) | 类型(4 字节) | 数据(变长) | CRC32(4 字节)

首个数据块固定为 IHDR，其数据段长度 13 字节，前 8 字节依次为宽度与高度，各占 4 字节大端序。CRC32 覆盖范围自类型字段起至数据段结束，即相对文件起始偏移 12 至 28 字节（共 17 字节）。

攻击原理

修改高度字段后，IHDR 的 CRC32 与实际内容不再匹配，文件头校验失败。反向利用该性质：遍历高度取值，重新计算 CRC32，与文件中所存校验值比对，取匹配者为真实高度。

参考实现

import struct, zlib, sys

  


data = bytearray(open(sys.argv[1], 'rb').read())

# 签名 8 字节 + 长度 4 字节 + 类型 4 字节 = 16；宽 [16:20]，高 [20:24]

print('当前宽度 =', struct.unpack('>I', data[16:20])[0])

  


for h in range(1, 4097):

    data[20:24] = struct.pack('>I', h)

    if zlib.crc32(bytes(data[12:29])) & 0xffffffff == struct.unpack('>I', data[29:33])[0]:

        print('实际高度 =', h)

        open('fixed.png', 'wb').write(bytes(data))

        break

2.4 其他图像工具

工具	功能定位	版本与获取状态
zsteg	PNG/BMP 的 LSB 隐写自动检测，单次调用遍历全部通道与位平面组合	仓库为 zed-0xff/zsteg（zsteg/zsteg 返回 404）。最新版 0.2.14，MIT 许可证，依赖 Ruby
binwalk	扫描嵌入的文件签名，自动分离追加或嵌套的文件	维护状态需分层说明：Python 2.x 分支于 2023--2024 年被放弃（Debian 曾将上游切换至 OSPG 维护分支），此后作者在原仓库内 完成 Rust 重写并发布 v3.1.0（2024-10-31），仓库已取消归档状态。未更换仓库。MIT 许可证
foremost	依据文件头尾特征进行文件雕刻，用于从镜像中恢复文件	Kali 提供软件包：apt install foremost
ExifTool	读写图像与多媒体文件的元数据字段	官网 exiftool.org 当前为临时过渡页面（原主机商关停主站），下载指向 SourceForge。当前版本 13.59
steghide	在 JPEG/BMP/WAV 中嵌入与提取数据，需口令	最后更新为 2003 年，仍为常用工具
stegseek	针对 steghide 的口令爆破，速率可达每秒百万次量级	用于 steghide 口令遗失场景
pngcheck	校验 PNG 完整性并输出 chunk 级信息	查证尺寸字段篡改的常用工具。libpng 上的页面已停止维护，官方开发仓库现为 pnggroup/pngcheck
010 Editor	十六进制编辑器，支持 Binary Template 解析二进制格式	商业软件：Commercial 149.95 / Home-Academic 59.95，提供 30 天试用。当前版本 v16.0.4
outguess	JPEG 隐写，具备抗统计检测特性	两个 GitHub 仓库均已停止维护：crorvick/outguess 自述为 unmaintained，接替的 resurrecting-open-source-projects/outguess 已于 2021-09-03 归档

---

3. 音频类

3.1 技术背景：频域隐写

音频的时域波形直接对应可听信号，改动时域采样值易被察觉或引入噪声。因此音频隐写更常作用于频域。

其原理为：对音频分帧后施加短时傅里叶变换（STFT），得到时间--频率--能量三维表示，即语谱图（spectrogram）。将秘密信息编码为特定时频单元的能量增量后，逆变换回时域。由于人类听觉系统对频率成分的相位与绝对幅度不敏感，该改动听感上不易分辨，但在语谱图中表现为可辨识的图案（如文字或图形）。

由此可见，音频隐写的检出手段为语谱图可视化。

3.2 Audacity

功能定位

开源音频编辑软件，用于音频的时域与频域可视化、编辑及格式转换。

技术原理

语谱图显示通过对音频分帧、加窗并执行 FFT 得到。可视化参数量化了时频分辨率的权衡关系：

• **窗长（Window Size）**决定频率分辨率与时间分辨率的折中。窗长增大，频率分辨率提高、时间分辨率下降；反之亦然。此即不确定性原理在短时傅里叶分析中的体现。

• **刻度类型（Scale）**决定频率轴的映射方式。线性刻度下低频区域被压缩，对数刻度下各倍频程等宽分布，更符合人耳感知特性，也利于辨识文字结构。

• **增益与动态范围（Gain / Range）**控制能量到灰度的映射区间，用于增强弱信号与背景的对比度。

操作要点

选中音轨 → 轨道左侧下拉菜单 → Spectrogram；再次进入该菜单的 Spectrogram Settings 调整参数：

参数	建议取值	作用
Scale	Logarithmic	频率轴对数映射，利于辨识文字结构
Window Size	2048 ~ 4096	提高频率分辨率
Window Type	Hann	抑制频谱泄漏
Max Frequency	8000 ~ 16000	裁剪无关频段，提升有效区域的显示比例
Gain / Range	按图调整	调整能量到灰度的映射，增强对比度

默认参数下无法观察到嵌入内容，不等于内容不存在。 应优先增大窗长，再调整增益与动态范围。

其他适用场景

场景	操作
检测音频拼接	放大时域波形，定位采样值突变点
人声降速辨识	效果 → 变更速度
倒放还原	效果 → 反转
声道分离	轨道 → 分离立体声到单声道
消除共模成分	对两段相似音频反相相加，相同成分抵消，差异部分保留

若语谱图边缘出现规律性条纹，可能为 **SSTV（慢扫描电视）**信号，可用 QSSTV 等解码工具还原为图像。

版本与获取状态

当前版本为 4.0.1（部分教程仍标注 3.x）。

3.3 其他音频工具

工具	功能定位	版本与获取状态
Sonic Visualiser	音频可视化、频谱分析与标注	频谱图分辨率高于 Audacity，支持加载 Vamp 插件
MP3Stego	在 MP3 压缩过程中嵌入数据	作者页面自述"特定配置下解码存在问题"。官方指向的 GitHub 仓库为空仓库，仅有二进制分发包可用（1.1.19，最后更新 2018-11）
SilentEye	图像与音频隐写的图形界面工具	官网 silenteye.org 被 Cloudflare 判定为钓鱼站点并返回 403 ，不应作为获取渠道。应改用 GitHub 仓库 achorein/silenteye（GPL-3.0）
DeepSound	将数据嵌入音频文件	原官网已失效 ：域名 jpinsoft.net 现为面向瑞典市场的博彩推广站点，产品页面不存在。引用该域名的资料均为死链，该域名亦不宜作为分发来源

---

4. 归档文件类

4.1 结构解析：ZIP 与伪加密

ZIP 归档由本地文件头 （Local File Header）与中央目录（Central Directory）两套结构描述同一批文件。两者均含加密标记字段：

本地文件头：偏移 0 起为签名 50 4B 03 04，偏移 6 起 2 字节为通用位标记

中央目录：  偏移 0 起为签名 50 4B 01 02，偏移 8 起 2 字节为通用位标记

其中**最低位（bit 0）**表示该条目是否加密。常见取值：

取值	含义
00 00	未加密
01 00	真实加密，数据段经 ZipCrypto 或 AES 加密
09 00	除 bit 0 外 bit 3 亦置位；常见于伪加密，即标记位被修改而数据段未加密

判定方法：中央目录的标记位决定解压软件是否索取口令；本地文件头的标记位决定数据段是否确实被加密。 二者不一致即构成伪加密。

情形	处置
本地头 00 00，中央目录 09 00	将中央目录标记改为 00 00
两处均为 09 00	两处均改为 00 00

该操作仅需十六进制编辑器，无须任何解密工具。

4.2 ARCHPR

功能定位

商业归档口令恢复工具，支持 ZIP / RAR / 7z，提供暴力破解、掩码攻击与字典攻击三种模式。

技术原理

针对传统 ZipCrypto 加密，其密钥由 3 个 32 位状态量构成，口令经 CRC32 表迭代初始化。工具通过逐候选口令执行密钥初始化并验证校验值来完成搜索。掩码攻击在已知口令字符集与长度分布时，可将搜索空间从全字符集压缩至受限集合。

已知限制

该软件为商业产品（当前版本 4.66.266，Standard 版 $49，Professional版49，Professional\; 版$ 49，Professional版99）。根据 ElcomSoft 官方文档，试用版存在以下限制：

• 可恢复的口令长度不超过 4 个字符

• 部分字典攻击选项被禁用

• Password from keys 与 Guaranteed WinZip Recovery 不可用

• ZIP 已知明文攻击下：不显示解密密钥 ，且仅能解密归档中的首个文件 ，攻击不可续跑

• Standard 版不支持 WinZip 的 AES 加密（128/256 位），亦不含上述两类攻击

结论：口令长度超过 4 个字符时，试用版无法处理。 常用表述"使用 ARCHPR 破解 ZIP 口令"在多数场景下实际需要 Professional 版方可完成。

版本与获取状态

官方产品页：https://www.elcomsoft.com/archpr.html。限制条款来源见附录 B。

4.3 开源替代方案

适用场景	工具	复杂度说明
具备已知明文	bkcrack	Biham--Kocher 已知明文攻击，复杂度显著低于穷举。Zlib 许可证
纯数字或短口令	fcrackzip / hashcat -m 17200	Kali 内置 / GPU 加速
字典攻击	John the Ripper + zip2john	开源，支持多线程
WinZip AES 加密	hashcat -m 13600	ARCHPR 需 Professional 版方支持

# bkcrack 已知明文攻击

bkcrack -C encrypted.zip -c plain.txt -p plain.txt              # 推导密钥

bkcrack -C encrypted.zip -k <k1> <k2> <k3> -U out.zip newpass   # 解密

  


# John the Ripper

zip2john target.zip > hash.txt

john hash.txt --wordlist=/usr/share/wordlists/rockyou.txt

  


# hashcat

hashcat -m 17200 hash.txt rockyou.txt    # ZipCrypto

hashcat -m 13600 hash.txt rockyou.txt    # WinZip AES

  


# fcrackzip

fcrackzip -b -c 1 -l 1-6 -u target.zip   # 纯数字，长度 1--6

补充方法：CRC32 反推。 ZIP 未加密条目存储明文内容的 CRC32 校验值。若该条目内容较短且字符集可枚举，可通过正向枚举与校验值比对还原明文：

import binascii, itertools, string

  


target_crc = 0x????????          # 取自归档中该条目的 CRC32 字段

for combo in itertools.product(string.printable[:62], repeat=3):

    if binascii.crc32(''.join(combo).encode()) & 0xffffffff == target_crc:

        print('命中:', ''.join(combo)); break

4.4 其他口令工具

工具	功能定位	版本与获取状态
hashcat	GPU 加速口令恢复	v7.1.2，MIT 许可证。7z 对应模式为 -m 11600
John the Ripper	离线口令破解，支持数百种哈希与加密类型	jumbo 版本位于 openwall/john 仓库 ，其默认分支即 bleeding-jumbo，并非独立仓库。GitHub 许可证字段为 NOASSERTION
fcrackzip	ZIP 口令暴力与字典破解	Kali 内置，版本 1.0

---

5. 网络流量与主机取证

5.1 流量分析

工具	功能定位	版本与获取状态
Wireshark	网络协议捕获与分析	稳定版 4.6.9。源码仓库位于 GitLab （gitlab.com/wireshark/wireshark），官方下载页仅链接 GitLab，无 GitHub 入口
tshark	Wireshark 的命令行接口	随 Wireshark 安装包发布，无独立分发包。适用于批量处理捕获文件
NetworkMiner	从捕获文件中提取文件、邮件与凭据，生成主机资产清单	免费版与专业版功能差异显著，不可笼统表述为"免费可用"。免费版不支持 PcapNG 解析、VoIP 音频提取与回放、OSINT 查询、PIPI 协议识别，不支持导出 CSV/Excel/XML/CASE/JSON-LD，不提供命令行脚本。专业版定价 $1300。Linux 环境下依赖 Mono，且不支持实时嗅探

常用显示过滤表达式

http.request.method == POST          仅显示 POST 请求

http contains "flag"                 载荷含指定字符串

tcp.stream eq 5                      仅显示编号为 5 的流

ip.addr == 192.168.1.1               仅显示指定地址

usb.capdata                          显示 USB 传输数据

dns                                  显示 DNS 查询（常用于域名外带检测）

5.2 USB HID 键盘流量解析

结构解析

USB HID 键盘采用 8 字节输入报告，结构如下：

偏移	长度	含义
0	1 字节	修饰键位图（bit 0 左 Ctrl，bit 1 左 Shift，......）
1	1 字节	保留
2--7	6 字节	按键码（HID Usage ID），最多同时报告 6 个按键

因此，单键输入的按键码位于偏移 2，即第 3 个字节。

提取与还原

tshark -r usb.pcapng -T fields -e usb.capdata > data.txt

keys = {

    0x04:'a',0x05:'b',0x06:'c',0x07:'d',0x08:'e',0x09:'f',0x0a:'g',0x0b:'h',

    0x0c:'i',0x0d:'j',0x0e:'k',0x0f:'l',0x10:'m',0x11:'n',0x12:'o',0x13:'p',

    0x14:'q',0x15:'r',0x16:'s',0x17:'t',0x18:'u',0x19:'v',0x1a:'w',0x1b:'x',

    0x1c:'y',0x1d:'z',0x1e:'1',0x1f:'2',0x20:'3',0x21:'4',0x22:'5',0x23:'6',

    0x24:'7',0x25:'8',0x26:'9',0x27:'0',0x28:'\n',0x2c:' ',0x2d:'-',0x2e:'=',

    0x2f:'[',0x30:']',0x31:'\\',0x33:';',0x34:"'",0x36:',',0x37:'.',0x38:'/',

}

out = ''

for line in open('data.txt'):

    line = line.strip()

    if len(line) >= 6:

        out += keys.get(int(line[4:6], 16), '')   # 偏移 2，第 3 字节

print(out)

注 ：修饰键位于偏移 0。若需还原大写字母与符号，须先判断 line[0:2] 是否包含 02（左 Shift 置位）。

5.3 主机取证

工具	功能定位	版本与获取状态
Volatility 3	内存镜像分析框架	默认分支为 develop，无稳定发行版本号
MemProcFS	将物理内存或内存转储以文件系统形式挂载	相比 Volatility 更直观。AGPL-3.0 许可证
Autopsy	磁盘镜像取证图形界面（The Sleuth Kit 前端）	4.23.1，Apache-2.0 许可证。旧下载页已重定向至 autopsy.com
AlternateStreamView	扫描 NTFS 备用数据流	见下

NTFS 备用数据流（Alternate Data Streams, ADS）

NTFS 允许单个文件关联多个数据流。文件在资源管理器中显示的大小仅对应默认流（:$DATA），附加流不显示于常规视图。因此存在"文件大小为 0 字节但内含数据"的情形。

命令行查看方式：

dir /r

输出中带 :$DATA 后缀的条目即为附加流。图形界面工具（AlternateStreamView）可对整个目录执行批量扫描。

RouterPassView

NirSoft 出品，用于解密路由器备份配置文件中的凭据字段（宽带账号、PPPoE 口令、无线网络口令等）。输入为配置文件（如 config.bin），输出为明文字段。

在 Windows 环境下的实际限制

该工具被 Windows Defender 判定为恶意工具。测试环境下打包时，zip 创建操作被直接拦截：

Operation did not complete successfully because the file

contains a virus or potentially unwanted software.

Defender 事件日志中的判定记录：

Name:     HackTool:Win32/Passview!AMTB

ThreatID: 2147938643

Severity: 高

Category: 工具

Path:     ...\RouterPassView\RouterPassView.exe

其后果为：归档创建失败；即使通过其他方式生成归档，解压时文件仍会被安全软件移除。

处置方式为从 NirSoft 官网单独获取，并自行决定是否添加排除项。此类凭据查看工具被标记为 HackTool 属常见现象，其本身并非恶意程序，但用户应知悉放行对象。此外 NirSoft 的许可条款对再分发有限制。

---

6. 编码识别

工具	功能定位	版本与获取状态
CyberChef	浏览器环境下的编解码与加解密工具集，Magic 操作可自动识别编码链	由英国政府通信总部（GCHQ）开发。2016 年 11 月 以 Apache-2.0 许可证开源；工具本身自 2014 年起在内部开发。在线版 gchq.github.io/CyberChef/，亦提供单文件 HTML 供离线使用

编码类型特征对照

字符集特征	编码类型
含 A-Za-z0-9+/，末尾有 = 填充	Base64
仅 A-Za-z0-9，无填充，长度为 4 的倍数	Base64（去填充）或 Base32
仅 0-9A-F，长度为偶数	十六进制
仅 . - 与空格	摩斯电码
仅 0 1，长度为 8 的倍数	二进制转 ASCII
形如 %xx%xx	URL 编码
形如 &#xxx;	HTML 实体
形如 uXXXX	Unicode 转义
仅 A-Z 与 =	Base32
键位相邻的字母序列	键盘移位
呈二维码布局的 0/1 矩阵	需绘制为图像后扫描

---

7. 附：Windows 工具包

获取方式

渠道	链接	提取码
夸克网盘	pan.quark.cn/s/1bfe2d7bd...	H6KF
蓝奏云（备用）	【待补：建议配置，防单渠道失效】	【待补】

文件信息

项	值
文件名	CTF-Misc-工具懒人包.zip
大小	29.47 MB（30,899,573 字节）
SHA256	011491B5E631A7E6AB76EE081346C7B09F2B497D3188DA0E8127E3AD17583423

下载后建议校验文件完整性，确认归档未被损坏或替换：

Get-FileHash .\CTF-Misc-工具懒人包.zip -Algorithm SHA256

输出值与上表一致即为完整。CTF 方向从网盘获取工具时遭遇捆绑或替换的情况并不罕见，此项校验为必要步骤。

包内内容

工具包内容如下，均为解压即可运行的形式：

tools/

├── 01-图片隐写/      StegSolve 1.4 + 旧构建备用

├── 02-音频隐写/      Audacity 3.7.8 免安装版

└── 04-取证与杂项/    AlternateStreamView 1.58

另含 01-速查表.md（按题型组织的处置流程）与 环境自检.bat（检测 Java 运行环境；StegSolve 依赖 Java）。

未收录工具及原因

工具	未收录原因
RouterPassView	被 Defender 判定为 HackTool，收录将导致归档创建失败，且分发后文件会被安全软件移除
ARCHPR	商业软件，且试用版仅支持不超过 4 个字符的口令
stego-toolkit	19 MB 内容均为 Linux/Docker 安装脚本，Windows 环境无法运行
Wireshark / Volatility / hashcat 等	体积较大且更新频繁，由使用者自行获取最新版本更为适宜

Kali 环境的获取方式（无须使用本工具包）：

sudo apt install -y binwalk foremost steghide exiftool pngcheck fcrackzip john hashcat wireshark

---

8. 结论

工具的选取由载体类型与目标数据通道共同决定，而非由工具的知名度决定。流程上应遵循由低成本到高成本的顺序：

1. 格式识别与字符串提取 ------ file 判定真实格式，strings 提取可读字符串

2. 结构与追加内容检查 ------ 检查文件结构字段是否被篡改，检查尾部是否存在追加数据

3. 针对性工具介入 ------ 图像使用位平面可视化工具，音频使用语谱图工具，归档先判定是否为伪加密

相当比例的赛题在第 1 步即可获得结果。

---

附录 A：工具选型速查表

载体	观察到的特征	处置顺序
图像	位平面相关提示	StegSolve Data Extract → zsteg
图像	无法打开或显示不完整	pngcheck -v 检查 → 遍历尺寸字段比对 CRC32
图像	体积显著大于视觉内容	binwalk -e 或 foremost 分离追加数据
图像	元数据相关提示	exiftool
音频	默认处置方式	Audacity 切换至语谱图并调整窗长与对比度
音频	语谱图无内容	检查波形拼接痕迹；尝试变速、倒放、声道分离
归档	无需口令但解压报错	按 4.1 节判定并修补加密标记字段
归档	存在已知明文	bkcrack
归档	口令为纯数字或较短	fcrackzip 或 hashcat -m 17200
流量	协议未知	Wireshark Statistics → Protocol Hierarchy
流量	含 HTTP 传输	File → Export Objects → HTTP
流量	含 USB 数据	按 5.2 节提取 HID 报告并还原
主机	存在隐藏数据提示	dir /r 或 AlternateStreamView
主机	内存镜像	Volatility 3

---

附录 B：来源与核实状态

本文涉及的事实性陈述来源如下。

事项	来源
ARCHPR 试用版限制条款	ElcomSoft 官方文档 https://www.elcomsoft.ru/help/en/archpr/limitations.html
StegSolve 1.4 许可证可再分发	NixOS/nixpkgs PR #244279（stegsolve: more precise license），2023-09-05 合并
RouterPassView 判定结果	测试环境的 Windows Defender 事件日志，事件 ID 1116；威胁名 HackTool:Win32/Passview!AMTB，威胁 ID 2147938643
StegSolve jar class 版本	直接解析 StegSolve-1.4.jar（主版本 52）与 Stegsolve.jar（主版本 49）
binwalk 维护状态	仓库 ReFirmLabs/binwalk（未归档，Rust，v3.1.0）；Debian bug #1068015
各工具版本号与许可证	GitHub REST API、RubyGems API 及各项目官方站点，核实于撰写时

未能核实的事项

事项	说明
NirSoft 工具页面的确切 URL 与版本号	nirsoft.net 在核实环境的 DNS 中被解析为非公网地址，无法访问。文中 URL 依项目命名约定推断，使用前应在浏览器中确认
Wireshark、Audacity、Sonic Visualiser、foremost、fcrackzip、ExifTool、John the Ripper、Volatility 的许可证条款原文	未逐字读取官方许可证文本，仅依据通行认知标注
bkcrack、Volatility 3、MemProcFS、CyberChef、stegseek、SilentEye 的具体发布资产文件名	仅确认 Releases 页面地址，未逐项核对资产

---

第三方工具的著作权归各自作者所有。本文所述工具仅适用于 CTF 竞赛、网络安全学习及获得合法授权的安全测试。