นี่คือภาพ "บูรณะ" ขอบคุณการวิจัยเพิ่มเติมของ tillberg:
อย่างที่คาดไว้มีตัวทำเครื่องหมายบล็อกขนาด 5 ไบต์ทุก ๆ ประมาณ 0x4020 ไบต์ รูปแบบที่ปรากฏมีดังต่อไปนี้:
struct marker {
uint8_t tag; /* 1 if this is the last marker in the file, 0 otherwise */
uint16_t len; /* size of the following block (little-endian) */
uint16_t notlen; /* 0xffff - len */
};
เมื่ออ่านเครื่องหมายแล้วmarker.lenไบต์ต่อไปจะสร้างบล็อกที่เป็นส่วนหนึ่งของไฟล์ เป็นตัวแปรควบคุมดังกล่าวว่าmarker.notlen บล็อกที่ผ่านมาเป็นเช่นนั้นmarker.len + marker.notlen == 0xffffmarker.tag == 1
โครงสร้างอาจเป็นดังนี้ ยังมีค่าที่ไม่รู้จัก
struct file {
uint8_t name_len; /* number of bytes in the filename */
/* (not sure whether it's uint8_t or uint16_t) */
char name[name_len]; /* filename */
uint32_t file_len; /* size of the file (little endian) */
/* eg. "40 25 01 00" is 0x12540 bytes */
uint16_t unknown; /* maybe a checksum? */
marker marker1; /* first block marker (tag == 0) */
uint8_t data1[marker1.len]; /* data of the first block */
marker marker2; /* second block marker (tag == 0) */
uint8_t data2[marker2.len]; /* data of the second block */
/* ... */
marker lastmarker; /* last block marker (tag == 1) */
uint8_t lastdata[lastmarker.len]; /* data of the last block */
uint32_t unknown2; /* end data? another checksum? */
};
ฉันไม่ได้คิดออกว่าอะไรจะเกิดขึ้นในตอนท้าย แต่เนื่องจาก PNGs ยอมรับการเติมเต็มมันจึงไม่น่าตื่นเต้นนัก อย่างไรก็ตามขนาดไฟล์ที่เข้ารหัสบ่งชี้อย่างชัดเจนว่าควรละเว้น 4 ไบต์สุดท้าย ...
เนื่องจากฉันไม่สามารถเข้าถึงตัวทำเครื่องหมายบล็อกทั้งหมดก่อนจุดเริ่มต้นของไฟล์ฉันจึงเขียนตัวถอดรหัสนี้ที่เริ่มต้นที่จุดสิ้นสุดและพยายามค้นหาตัวทำเครื่องหมายบล็อก มันไม่ได้แข็งแกร่ง แต่ก็ใช้ได้สำหรับภาพทดสอบของคุณ:
#include <stdio.h>
#include <string.h>
#define MAX_SIZE (1024 * 1024)
unsigned char buf[MAX_SIZE];
/* Usage: program infile.png outfile.png */
int main(int argc, char *argv[])
{
size_t i, len, lastcheck;
FILE *f = fopen(argv[1], "rb");
len = fread(buf, 1, MAX_SIZE, f);
fclose(f);
/* Start from the end and check validity */
lastcheck = len;
for (i = len - 5; i-- > 0; )
{
size_t off = buf[i + 2] * 256 + buf[i + 1];
size_t notoff = buf[i + 4] * 256 + buf[i + 3];
if (buf[i] >= 2 || off + notoff != 0xffff)
continue;
else if (buf[i] == 1 && lastcheck != len)
continue;
else if (buf[i] == 0 && i + off + 5 != lastcheck)
continue;
lastcheck = i;
memmove(buf + i, buf + i + 5, len - i - 5);
len -= 5;
i -= 5;
}
f = fopen(argv[2], "wb+");
fwrite(buf, 1, len, f);
fclose(f);
return 0;
}
งานวิจัยที่เก่ากว่า
นี่คือสิ่งที่คุณจะได้รับเมื่อลบไบท์0x4022ออกจากอิมเมจที่สองจากนั้นโดยการลบไบท์0x8092:
มันไม่ได้ "ซ่อมแซม" ภาพจริงๆ ฉันทำสิ่งนี้ด้วยการลองผิดลองถูก อย่างไรก็ตามสิ่งที่บอกคือมีข้อมูลที่ไม่คาดคิดทุก ๆ 16384 ไบต์ ฉันเดาว่าภาพนั้นบรรจุอยู่ในโครงสร้างของระบบไฟล์บางชนิดและข้อมูลที่ไม่คาดคิดก็คือบล็อกเครื่องหมายที่คุณควรลบออกเมื่ออ่านข้อมูล
ฉันไม่รู้ว่าตัวบล็อกบล็อคอยู่ที่ไหนและขนาดของพวกเขา แต่ขนาดบล็อกนั้นแน่นอนที่สุดคือ 2 ^ 14 ไบต์
มันจะช่วยถ้าคุณสามารถให้การถ่ายโอนข้อมูลฐานสิบหก (ไม่กี่สิบไบต์) ของสิ่งที่ปรากฏอยู่ตรงหน้าภาพและหลังจากนั้น สิ่งนี้จะให้คำแนะนำเกี่ยวกับประเภทของข้อมูลที่เก็บไว้ที่จุดเริ่มต้นหรือจุดสิ้นสุดของบล็อก
แน่นอนว่ายังมีความเป็นไปได้ที่จะมีข้อผิดพลาดในโค้ดสกัดของคุณ หากคุณใช้บัฟเฟอร์ขนาด 16384 ไบต์สำหรับการดำเนินการกับไฟล์ของคุณฉันจะตรวจสอบที่นั่นก่อน
