隐写术检测与提取

何时使用 / 何时不用

• 用：隐写怀疑（CTF 题/取证对象）、文件尾异常、图片/音频异常（尺寸/噪声/文件结构不匹配）
• 用：文件结构异常（IEND 后仍有数据/EXIF 段超长/像素数与文件大小不匹配）
• 用：多载体组合（题目/取证场景常见——多文件各藏一部分）
• 用：取证场景未分配空间/文件系统残留扫描（与 [[re-disk-forensics]] 配合）
• 不用：正常文件分析（各归各域技能）；加密数据解密（密文 ≠ 隐写，载荷解密转 [[re-crypto-decrypt]]）；未知文件类型识别（[[re-triage]] 先行）
• 不用：无载体线索的漫无目的扫描（先有怀疑特征再动手，见 [[decision-tree]]）

工具准备

zsteg（图片 LSB 扫描）

• 多平台: gem install zsteg 或源码（GitHub）
• 验证: zsteg -h 或 gem list zsteg
• 覆盖范围：PNG/BMP 支持好，GIF 支持有限——GIF 载体换 python 脚本路径