数据隐写基础（攻防数据隐写术）

如果你在刷 CTF 题时遇到一张图片、一段音频、一个压缩包，题目名字里带「stego」「隐写」「藏在哪」这类字眼，打开十六进制一看却不知道怎么下手，那这门课就是冲这个缺口来的。数据隐写不是加密，它的目的不是让人看不懂，而是让人压根意识不到这里还藏着东西——这个思路差异，决定了排查手法和工具链跟密码学题完全不是一回事。

先搞清楚它解决的是哪类问题

很多人第一次接触隐写，会把它和编码、加密混在一起。Base64 是编码，AES 是加密，而隐写关心的是「载体」——图片、音频、文本、流量、文件系统 slack 空间，都可能被拿来做容器。载体本身还能正常打开、正常显示，这才是隐写的迷惑性所在。课程从这些基本概念切入，不急着甩工具，而是先把「信息藏在哪一类载体里」「改动会不会破坏载体可用性」这两条线理清楚，后面遇到具体题目时才不至于乱试。

需要提醒的是，隐写题在 CTF 里往往是「一眼看不出、动手才见分晓」的类型。看完概念不等于会做，真正卡人的是判断路径：先看文件头，还是先跑 binwalk？先怀疑 LSB，还是先怀疑元数据？这些判断依赖的是对载体格式的理解，而不是背工具参数。

配套练习是 CTF 例题，不是演示

课程在知识点推进的同时引了大量 CTF 例题。这个安排的意义在于：隐写的知识点之间跳跃性很强，单讲 LSB 替换、单讲 EXIF、单讲音频频谱，听起来都懂，但给一个真实文件让你判断该用哪种方法，多数人还是会愣住。例题的作用是把「什么特征对应什么手法」这个映射关系练出来。

练习过程中会用到 Python。这里不需要你已经是 Python 高手，能读写文件、会跑脚本、看得懂一位一位处理字节的逻辑就够了。图像处理、音频采样、字节流操作这些环节，用现成脚本能出结果，但如果不理解脚本在做什么，换一道题就又会卡住。建议边跑边改参数，观察输出差异，这一步比单纯看讲解有用得多。

学完应该能回答这几个问题

• 拿到一个未知文件，怎么快速判断它是否可能被用作隐写载体？
• LSB 隐写为什么对图片画质影响很小，什么情况下又会暴露？
• 音频隐写常见的几种藏法各自对应什么观察手段？
• 文件附加数据、文件头尾结构被利用时，怎么定位异常偏移？
• 面对一道没见过的隐写题，你的排查顺序是什么，为什么是这个顺序？

如果这些问题你现在答不上来，或者只能说出工具名字说不出理由，那说明缺的正是这门课要补的部分。反过来，如果这些你都能讲清楚，这门课对你可能偏基础，可以把时间花在更深的取证或逆向方向。

适合谁，以及怎么用

适合三类人：一是准备软考信息安全相关科目、需要补齐隐写这块知识点的考生；二是打 CTF 新手上路、Misc 方向老丢分的人；三是从运维、开发转安全方向，想把基础面铺全的转岗者。不适合已经能稳定做出中高难度隐写题的人。

使用建议很直接：按顺序过知识点，但每碰到一个例题就先自己动手，卡住了再看思路，别一路看下去。每两到三节做一次小结，重点记「特征—手法」的对应关系，而不是记工具命令。学完之后，找一套完整的隐写题独立复现一遍，把过程写下来——能写清楚为什么这么排查，才算真的掌握。