24、SWF 文件数据隐藏技术与苹果 iPad 取证工具分析

SWF 文件数据隐藏技术与苹果 iPad 取证工具分析

1. SWF 文件数据隐藏技术

SWF 文件是一种常用于网络动画和多媒体展示的文件格式，因其特性使其成为数据隐藏的潜在载体。在判断数据隐藏技术是否符合规范时，需测试其是否会损坏文件。无论技术是否符合规范，都会留下痕迹证据。虽然不能仅通过检查 SWF 规范来确定所有可能的数据隐藏技术，但该规范是系统识别数据隐藏机会的良好起点。

1.1 四种数据隐藏技术

• 追加数据法 ：利用 SWF 文件使用 End 标签表示文件结束的特点，假设 Flash 播放器会忽略 End 标签之后的所有内容，因此可在文件末尾追加数据。还可对压缩的 SWF 文件进行解压缩，在文件末尾添加数据后再压缩。
• 添加额外元数据标签法 ：依据 SWF 规范，Flash 播放器会忽略元数据标签，且一个 SWF 文件最多只能有一个此类标签。该技术通过在 SWF 文件中添加一个带有隐藏数据的额外自定义元数据标签来隐藏数据。
• 添加自定义定义标签法 ：每个定义标签都有一个字符 ID，由控制标签或其他定义标签引用，且每个定义标签必须有唯一的字符 ID。此技术通过插入一个带有现有字符 ID 或未使用字符 ID 的自定义定义标签来隐藏数据。
• 替换填充位法 ：当数据项未在八位边界结束时，编译器会用零填充剩余位，以确保两个标签不共享同一个字节，且引用以字节而非位为单位。该技术将 SWF 文件中的填充位替换为隐藏数据。