文件结构

关于

每一个类型的文件都有自己的结构和特性，通过附加式隐写中的原理我们可以得知 操作系统识别的过程中是，从文件头标志，到文件的结束标志位，当系统识别到图片的结束标志位后，则默认不再继续识别。所以，对于计算机来说文件的结构影响着对文件的属性判断，在CTF中也有针对文件结构的一些题目，例如PNG文件修改宽高，文件头缺失修复等。

文件署名域

文件的前8字节为文件的署名域，例如PNG的十六进制值为:

89 50 4e 47 0d 0a 1a 0a 

我们使用工具打开任意一张PNG可以发现这个位置的结构

数据块

数据块分为两种: 关键数据块与辅助数据块，每个数据块都由4个域组成

名称	字节数	说明
Length(长度)	4字节	指定数据块中数据域的长度，其长度不超过(231−1)(231−1)字节
Chunk Type Code(数据块类型码)	4字节	数据块类型码由ASCII字母(A-Z和a-z)组成
Chunk Data(数据块实际内容	可变长度	存储按照Chunk Type Code指定的数据
CRC(循环冗余检测	4字节	存储用来检测是否有错误的循环冗余码

一个4字节的CRC（循环冗余校验）计算，在所述块的前面的字节，包括该块类型的代码和数据块的数据字段，但是不包括长度字段。 CRC始终存在，即使不包含数据块。 CRC的值为 Chunk Type Code域和Chunk Data域中的数据进行计算，有时会通过检验CRC来验证文件是否被修改过。

关键数据块

数据块符号	数据块名称	多数据块	是否可选	位置限制
IHDR	文件头数据块	否	否	第一块
PLTE	调色板数据块	否	是	在IDAT之前
IDAT	图像数据块	是	否	与其他IDAT连续
IEND	图像结束数据	否	否	最后一个数据块

IHDR：文件头数据块IHDR(header chunk)：它包含有PNG文件中存储的图像数据的基本信息，并要作为第一个数据块出现在PNG数据流中，而且一个PNG数据流中只能有一个文件头数据块。
PLTE：调色板数据块PLTE(palette chunk)包含有与索引彩色图像(indexed-color image)相关的彩色变换数据，它仅与索引彩色图像有关，而且要放在图像数据块(image data chunk)之前。PLTE数据块是定义图像的调色板信息，PLTE可以包含1~256个调色板信息，每一个调色板信息由3个字节组成。
IDAT：图像数据块IDAT(image data chunk)：它存储实际的数据，在数据流中可包含多个连续顺序的图像数据块。IDAT存放着图像真正的数据信息，因此，如果能够了解IDAT的结构，我们就可以很方便的生成PNG图像。
IEND：图像结束数据IEND(image trailer chunk)：它用来标记PNG文件或者数据流已经结束，并且必须要放在文件的尾部。如果我们仔细观察PNG文件，我们会发现，文件的结尾12个字符看起来总应该是这样的：0000000049454E44AE426082，不难明白，由于数据块结构的定义，IEND数据块的长度总是0（00 00 00 00，除非人为加入信息），数据标识总是IEND（49 45 4E 44），因此，CRC码也总是AE 42 60 82

综合图表

数据块符号	数据块名称	多数据块	可选否	位置限制
IHDR	文件头数据块	否	否	第一块
cHRM	基色和白色点数据块	否	是	在PLTE和IDAT之前
gAMA	图像γ数据块	否	是	在PLTE和IDAT之前
sBIT	样本有效位数据块	否	是	在PLTE和IDAT之前
PLTE	调色板数据块	否	是	在IDAT之前
bKGD	背景颜色数据块	否	是	在PLTE之后IDAT之前
hIST	图像直方图数据块	否	是	在PLTE之后IDAT之前
tRNS	图像透明数据块	否	是	在PLTE之后IDAT之前
oFFs	(专用公共数据块)	否	是	在IDAT之前
pHYs	物理像素尺寸数据块	否	是	在IDAT之前
sCAL	(专用公共数据块)	否	是	在IDAT之前
IDAT	图像数据块	是	否	与其他IDAT连续
tIME	图像最后修改时间数据块	否	是	无限制
tEXt	文本信息数据块	是	是	无限制
zTXt	压缩文本数据块	是	是	无限制
fRAc	(专用公共数据块)	是	是	无限制
gIFg	(专用公共数据块)	是	是	无限制
gIFt	(专用公共数据块)	是	是	无限制
gIFx	(专用公共数据块)	是	是	无限制
IEND	图像结束数据	否	否	最后一个数据块