CTF杂项 常见文件头文件尾完整汇总一、基础概念文件头魔数 Magic Number文件最开头固定十六进制字节用来识别文件类型CTF常用于隐写分离、伪加密、文件拼接、丢头修复。文件尾文件末尾固定标识多用于定位文件结束、分离捆绑文件、提取隐藏文件。标注格式十六进制(ASCII释义)默认小端标注首4字节。二、图片类CTF隐写最高频1. JPG / JPEG文件头FF D8 FF文件尾FF D9常见考点图片截断、尾部藏压缩包、伪JPG、丢头修复。2. PNG文件头89 50 4E 47 0D 0A 1A 0A→\x89PNG\r\n\x1a\n文件尾49 45 4E 44 AE 42 60 82→IEND段结束标记考点IHDR篡改、IDAT压缩、CRC校验报错、尾部捆绑文件。3. GIFGIF87a头47 49 46 38 37 61→GIF87aGIF89a头47 49 46 38 39 61→GIF89a文件尾无固定单字节尾文件长度决定结束。4. BMP位图文件头42 4D→BM无固定文件尾头部自带文件总长度。5. TIFF大头序4D 4D 00 2A小头序49 49 2A 00三、压缩/归档类CTF捆绑文件常客1. ZIP重中之重标准文件头50 4B 03 04普通压缩包分卷头50 4B 07 08压缩包注释/目录头50 4B 01 02文件尾ZIP结束标记50 4B 05 06空目录尾后面常跟注释、隐藏文件考点伪加密、尾部藏文件、分段zip、zip爆破、明文攻击。2. RARRAR5旧版头52 61 72 21 1A 07 00→Rar!RAR新版(RAR5)52 61 72 21 1A 07 01 00无固定尾依靠头部长度定位。3. 7Z文件头37 7A BC AF 27 1C4. GZIP(gz)文件头1F 8B文件尾无固定尾末尾有CRC32校验值。5. TAR文件头开头无固定魔数靠结尾512字节全0判定结束。四、文档类1. PDF文件头25 50 44 46→%PDF文件尾25 25 45 4F 46→%%EOF考点PDF隐藏流、EOF多次篡改、多重PDF嵌套。2. Word(.doc)、Excel(.xls) OLE复合文档文件头D0 CF 11 E0 A1 B1 1A E1.docx/.xlsx本质是zip头为50 4B 03 04。3. PPT.pptOLE头同上.pptxZIP头。五、音频视频类1. MP3ID3标签头49 44 33→ID3无全局固定文件尾。2. WAV文件头52 49 46 46→RIFF3. MP4起始多为00 00 00 xx 66 74 79 70核心标识ftyp。4. FLAC文件头66 4C 61 43→fLaC六、程序固件类1. Windows PE程序(exe/dll)文件头4D 5A→MZ考点exe捆绑文件、资源段提取。2. ELF(Linux可执行文件)文件头7F 45 4C 46→\x7fELF3. Java Class文件头CA FE BA BE咖啡宝贝4. Android DEX文件头64 65 78 0A→dex\n七、其他高频杂项格式SQLite数据库头53 51 4C 69 74 65 20 66 6F 72 6D 61 74 20 33.ISO镜像头43 44 30 30 31→ CD001Base64文件无魔数特征仅A-Za-z0-9/末尾1~2个填充。蓝牙HCI日志头00 00 00 00 03.pcap流量包pcapD4 C3 B2 A1(小端) /A1 B2 C3 D4(大端)pcapng0A 0D 0D 0A八、CTF常用文件格式表文件类型文件头文件尾JPGFF D8 FFFF D9PNG89 50 4E 47 …IEND(AE426082)ZIP50 4B 03 0450 4B 05 06PDF25 50 44 46%%EOFEXE4D 5A(MZ)无ELF7F 45 4C 46无ClassCA FE BA BE无RAR52 61 72 21无GZ1F 8B无九、CTF实战常用技巧发现文件无法打开用010 Editor/WinHex查看头部魔数判断真实格式。图片末尾多余字节查找504B分离zip查找FFD8分离jpg。伪加密zip修改全局加密标记位0x09位置。多文件拼接依次扫描不同魔数切片拆分。丢头修复补全魔数配合文件长度修复文件。