隐写术实战指南

要解决的具体问题

隐写分析很容易被简化成“看一眼图片或音频”。但真实样本可能把数据藏进 LSB、PNG chunk、JPEG DCT 系数、EXIF、尺寸字段、调色板、音频谱图、WAV 头、polyglot 文件、NTFS ADS、空白字符、零宽 Unicode 或同形替换中。基础模型缺少按文件类型系统分支的分析路径，也缺少每个工具对应的提取流程和证据组织方式。

技能如何工作

技能先做关联路由：网络抓包文件可用 traffic-analysis-pcap 提取，内存镜像可用 memory-forensics-volatility 提取，若隐藏数据还被加密或编码，可接 classical-cipher-analysis。主分析按载体分类：图像关注 LSB、PNG 元数据块、JPEG DCT、EXIF、尺寸技巧与调色板操作；音频关注频谱、音频 LSB、DTMF/Morse、WAV 头；文件关注 polyglot、附加/嵌入数据、binwalk、NTFS ADS、steghide 暴力；文本关注空白编码、零宽字符与 homoglyph 替换。需要安装、命令参数和具体文件类型工作流时，加载 STEGO_TOOLS_GUIDE.md，并按决策树逐步收敛候选。

适用边界

它能提高发现与提取概率，但不承诺所有隐写都能解出明文；载荷可能加密、损坏、依赖特定工具参数，或需要结合来源、哈希、时间线与上下文复核。结论应来自多信号交叉验证，而不是单一检测命中。