FlareOn2 -- gdssagh

先用 DIE 检查，是汇编写的 exe 程序

把中间的一大段数据转成数据，是 base64 编码。Shift + E 导出，把换行删掉

明显是 png 图片

stegsolve 查看图片，没有多余的数据。但是在 RGB 的 panel 0 上方明显和其他地方不一致，猜测 LSB 隐写

感觉开头像 DOS_IMAGE_HEADER，但是提取的时候一直不对 ......

搜了其他 WP，大部分用的是 zsteg，而且图片隐写的数据确实是一个 exe。但为什么 stegsolve 不对呢？

于是手动提取了前 8 个像素的数据

RGB
125 148 179
121 144 174
107 132 154
115 140 157
137 160 169
136 162 164
126 152 147
127 150 143

提取的二进制数据

1 0 1 1 0 0 1 0 0 1 0 1 1 0 1 0 0 0 0 0 1 1 0 1

Stegsolve 会直接将数据每 8 位分组为字节，得到

10110010 01011010 00001101 => b2 5a 09

实际应该按照最低位到最高位的顺序写入每个字节，也就是把上面每个字节反转一下，得到

01001101 01011010 10110000 => 4d 5a b0

最后写个程序，把每个字节反转一下，再拖到 ida 就 OK 了