CTF取证挑战：如何从JPG文件中提取Zlib压缩数据？

开发者阿泽

2026-7-22

提取JPG中隐藏Zlib数据的实用技巧

针对你遇到的Zlib数据提取失败问题，试试以下几种方法：

手动切割提取Zlib数据
利用文件偏移量直接切割出Zlib段：
1. 计算Zlib数据长度：下一个文件起始偏移0x566A2减去Zlib起始偏移0x87BD，结果为0x4DEE5（十进制319205）。
2. 执行dd命令提取：
```
dd if=your_target.jpg of=extracted.zlib bs=1 skip=34749 count=319205
```
直接解压Zlib数据
提取后用zlib专用工具解压：
```
zlib-flate -uncompress < extracted.zlib > output.content
```
解压后的output.content可能是文本、图片或其他格式，可根据内容进一步分析。
用foremost自动提取所有嵌入文件
这个工具会自动扫描并分离所有嵌入的文件类型：
```
foremost your_target.jpg
```
提取的文件会存放在当前目录的output文件夹中，按类型分类。
强制binwalk提取
给binwalk指定更宽松的提取规则：
```
binwalk -e --dd='.*' your_target.jpg
```
或者针对Zlib类型单独提取：
```
binwalk -dd 'zlib:gz' your_target.jpg
```
修复Zlib头（如果缺失）
有些嵌入的Zlib数据可能缺少标准头（0x78 0x9C对应最佳压缩），可以手动添加后再解压：
1. 用xxd编辑提取的文件：
```
xxd -r -p <<< "789C$(xxd -p extracted.zlib)" > fixed.zlib
```
2. 再用zlib-flate解压fixed.zlib。