幸运黑豹 CTF TryHackMe 房间官方解题报告
内容提要
本文介绍了图像隐写解密过程，使用steghide工具分析图像，找到隐藏文件密码，再用fcrackzip破解压缩文件密码，得到另一个隐藏文件，最后使用pdf2john和John the Ripper或Hashcat破解PDF文件密码，找到第一个标志，最后使用ROT13解密标志。
延伸解读
隐写与密码破解的典型流程
本文展示了一个从图像隐写到多层密码破解的完整CTF解题链。首先用steghide检测图像中的隐藏数据，但需要密码；接着用StegSeek配合rockyou字典爆破出密码，提取出加密的zip文件；再用fcrackzip破解zip密码，得到加密PDF；最后用pdf2john提取哈希，通过John或Hashcat破解PDF密码，获得第一个flag。整个过程体现了CTF中常见的“隐写+字典攻击”组合，每一步都依赖前一步的成果，环环相扣。
工具选择与替代方案
在破解PDF密码时，文章提供了两种工具：John the Ripper和Hashcat。John使用pdf2john提取的哈希文件直接破解，而Hashcat需要先编辑哈希文件，移除文件名前缀，并指定模式10500。两者都使用rockyou.txt字典，最终得到相同密码。这提示读者，在CTF中可根据环境和个人熟悉度选择工具，但需注意不同工具对输入格式的要求可能不同，例如Hashcat需要清理哈希格式。
从中间flag到最终flag的编码转换
在Task 2中获得的flag格式为GUZ{...}，并非TryHackMe的标准格式THM{...}。文章通过dCode的Cipher Identifier识别出这是ROT13编码，然后使用ROT13解码或CyberChef的ROT13功能将其转换为THM{...}。这说明CTF中flag可能经过简单编码，识别编码类型是关键。ROT13是一种常见的替换密码，对字母进行13位偏移，解码后即可得到可读的最终flag。
Q&A
如何使用steghide工具分析图像文件？
使用steghide工具分析图像文件时，首先需要输入命令'steghide info luckypanther.jpg'，然后输入所需的密码以提取嵌入的数据。
如何找到forest.zip文件的密码？
可以使用StegSeek工具和rockyou.txt字典来找到forest.zip的密码，最终发现密码为'deepforest'。
如何破解deepforest.pdf文件的密码？
首先使用pdf2john提取deepforest.pdf的哈希值，然后使用John the Ripper或Hashcat来破解密码，最终得到密码'good-luck'。
最终标志是什么？
最终标志是THM{H!_H4ck3r!_y0u_4r3_in_4he_D33p_f0r3$t!_C0ngr4t$!}，通过ROT13解密得到。
在CTF挑战中，如何提取隐藏文件？
使用steghide工具提取隐藏文件时，需输入命令'steghide extract -sf luckypanther.jpg'并提供找到的密码。
fcrackzip工具的作用是什么？
fcrackzip工具用于破解压缩文件的密码，能够快速找到并解压缩受保护的zip文件。
