JPG取证任务遇阻：需修改ff c0段字节（挑战名no_limts）

问题背景 #

正在处理名为no_limits的JPG取证挑战，要求修改FF C0段中的1个或数个字节，挑战描述提示需“深入探索”，目前暂无进展。

FF C0段相关数据 #

00000100: 0c0c ffc0 0011 0801 a001 6703 0122 0002  ..........g.."..
0000ffc0: ac85 64e2 1969 6fb5 06b3 b392 6646 da83  ..d..io.....fF..

ExifTool检测信息 #

ExifTool Version Number         : 11.88
File Name                       : shrek1.jpg
Directory                       : .
File Size                       : 76 kB
File Modification Date/Time     : 2023:11:30 22:05:02+05:30
File Access Date/Time           : 2023:11:30 22:05:08+05:30
File Inode Change Date/Time     : 2023:11:30 22:05:02+05:30
File Permissions                : rw-rw-r--
File Type                       : JPEG
File Type Extension             : jpg
MIME Type                       : image/jpeg
JFIF Version                    : 1.01
Exif Byte Order                 : Big-endian (Motorola, MM)
Orientation                     : Horizontal (normal)
X Resolution                    : 1
Y Resolution                    : 1
Resolution Unit                 : None
Y Cb Cr Positioning             : Centered
Image Width                     : 65535
Image Height                    : 511
Encoding Process                : Baseline DCT, Huffman coding
Bits Per Sample                 : 8
Color Components                : 255
Image Size                      : 65535x511
Megapixels                      : 33.5

已尝试方法 #

• LSB编码读取
• binwalk分析
• strings提取文本
  均未取得有效进展。

针对性分析与操作建议 #

1. 明确FF C0段的本质
   FF C0是JPEG的帧开始（SOF0）标记，标准结构为：

   • 标记（FF C0）
   • 段长度（2字节，大端序）
   • 采样精度（1字节，通常为8）
   • 图像高度（2字节）
   • 图像宽度（2字节）
   • 颜色分量数（1字节，正常为1或3）
   • 各分量参数（每个分量3字节：ID、采样因子、量化表ID）

2. 定位异常段
   00000100位置的FF C0是正常SOF0段：段长度0011（17字节）、精度08、高度01A0（416）、宽度0167（359）、分量数03，完全符合标准。
   0000ffc0位置的FF C0是异常段：靠近文件末尾，后续字节不符合SOF0标准结构，且干扰了ExifTool解析（导致颜色分量数显示为255、图像宽度65535），这就是需要修改的目标。

3. 具体修改尝试

   • 修正颜色分量数：在0000ffc0段中找到对应分量数的字节，尝试改为03（RGB）或01（灰度），保存后打开图像查看变化。
   • 修正图像宽高：将段中对应宽高的字节改为合理数值（比如和正常SOF0一致的0167、01A0），验证图像是否正常显示。
   • 禁用异常段：将0000ffc0位置的FF C0改为无效标记（如FF 00），或直接删除该段数据，看图像是否恢复正常，是否出现隐藏内容。
   • 逐字节测试：如果上述方法无效，可逐字节修改0000ffc0段的内容，每次修改后用图像查看器打开，观察是否有隐藏信息显现。

内容的提问来源于stack exchange，提问作者tricky_ninja