跳转至

文件结构

关于

每一个类型的文件都有自己的结构和特性,通过附加式隐写中的原理我们可以得知 操作系统识别的过程中是,从文件头标志,到文件的结束标志位,当系统识别到图片的结束标志位后,则默认不再继续识别。所以,对于计算机来说文件的结构影响着对文件的属性判断,在CTF中也有针对文件结构的一些题目,例如PNG文件修改宽高,文件头缺失修复等。

文件署名域

文件的前8字节为文件的署名域,例如PNG的十六进制值为:

89 50 4e 47 0d 0a 1a 0a 

我们使用工具打开任意一张PNG可以发现这个位置的结构

img

数据块

数据块分为两种: 关键数据块与辅助数据块,每个数据块都由4个域组成

名称 字节数 说明
Length(长度) 4字节 指定数据块中数据域的长度,其长度不超过(231−1)(231−1)字节
Chunk Type Code(数据块类型码) 4字节 数据块类型码由ASCII字母(A-Z和a-z)组成
Chunk Data(数据块实际内容 可变长度 存储按照Chunk Type Code指定的数据
CRC(循环冗余检测 4字节 存储用来检测是否有错误的循环冗余码

一个4字节的CRC(循环冗余校验)计算,在所述块的前面的字节,包括该块类型的代码和数据块的数据字段,但是不包括长度字段。 CRC始终存在,即使不包含数据块。 CRC的值为 Chunk Type Code域和Chunk Data域中的数据进行计算,有时会通过检验CRC来验证文件是否被修改过。

关键数据块

数据块符号 数据块名称 多数据块 是否可选 位置限制
IHDR 文件头数据块 第一块
PLTE 调色板数据块 在IDAT之前
IDAT 图像数据块 与其他IDAT连续
IEND 图像结束数据 最后一个数据块
IHDR文件头数据块IHDR(header chunk)它包含有PNG文件中存储的图像数据的基本信息并要作为第一个数据块出现在PNG数据流中而且一个PNG数据流中只能有一个文件头数据块
PLTE调色板数据块PLTE(palette chunk)包含有与索引彩色图像(indexed-color image)相关的彩色变换数据它仅与索引彩色图像有关而且要放在图像数据块(image data chunk)之前PLTE数据块是定义图像的调色板信息PLTE可以包含1~256个调色板信息每一个调色板信息由3个字节组成
IDAT图像数据块IDAT(image data chunk)它存储实际的数据在数据流中可包含多个连续顺序的图像数据块IDAT存放着图像真正的数据信息因此如果能够了解IDAT的结构我们就可以很方便的生成PNG图像
IEND图像结束数据IEND(image trailer chunk)它用来标记PNG文件或者数据流已经结束并且必须要放在文件的尾部如果我们仔细观察PNG文件我们会发现文件的结尾12个字符看起来总应该是这样的0000000049454E44AE426082不难明白由于数据块结构的定义IEND数据块的长度总是000 00 00 00除非人为加入信息),数据标识总是IEND49 45 4E 44),因此CRC码也总是AE 42 60 82

综合图表

数据块符号 数据块名称 多数据块 可选否 位置限制
IHDR 文件头数据块 第一块
cHRM 基色和白色点数据块 在PLTE和IDAT之前
gAMA 图像γ数据块 在PLTE和IDAT之前
sBIT 样本有效位数据块 在PLTE和IDAT之前
PLTE 调色板数据块 在IDAT之前
bKGD 背景颜色数据块 在PLTE之后IDAT之前
hIST 图像直方图数据块 在PLTE之后IDAT之前
tRNS 图像透明数据块 在PLTE之后IDAT之前
oFFs (专用公共数据块) 在IDAT之前
pHYs 物理像素尺寸数据块 在IDAT之前
sCAL (专用公共数据块) 在IDAT之前
IDAT 图像数据块 与其他IDAT连续
tIME 图像最后修改时间数据块 无限制
tEXt 文本信息数据块 无限制
zTXt 压缩文本数据块 无限制
fRAc (专用公共数据块) 无限制
gIFg (专用公共数据块) 无限制
gIFt (专用公共数据块) 无限制
gIFx (专用公共数据块) 无限制
IEND 图像结束数据 最后一个数据块