题干：老师布置了个修复fat32文件系统磁盘的作业，给了磁盘恢复工具的同时又给了静谧之眼，优秀的小蓝鲨能发现被破坏的地方以及藏在里面的信息吗？
考点：fat32文件系统的存储特征 jpg隐写 维吉尼亚加密
解题思路：
附件为一个vmdk，用diskgenius挂载打开发现是FAT32文件系统，显示有一个jpg文件，然后没有信息了，如果使用diskgenius,是无法直接提取的，因为fat表被破坏簇链不连续了。
直接提取的失败图样
破坏的簇链结构（FAT2表）
接下来有两条路，第一种，直接使用foremost或手工提取出图片（按照文件头文件尾识别字节级恢复文件），这种方式最为简单，因为本身这不是一道恢复磁盘的题，只是想让选手发现被破坏的簇链存放了新的数据。寻找方式可以直接遍历寻找FF D8的文件头，也可以利用FDT表中的结构寻找起始簇块
xways挂载后对FDT表项的分析
利用起始簇号进行定位提取的方式
直接寻找文件头FF D8
第二种，可以选择恢复FAT表的簇链数据，FAT32文件系统是存在一个备份表的，而备份表中的簇链是完整未破坏的，可以将数据复制过来进行恢复，这样就能进行文件系统级别恢复文件了（注：FTK image使用的方案是对文件系统级别和字节级别的双重恢复，部分选手能够直接恢复出来文件也是这个原因）
FAT1表数据
回到本题中，可以发现存储图片文件的簇链被修改提取出来可以发现是一段疑似flag的文本，但是明显是属于一种加密后的样式，继续来到题干信息提示，静谧之眼也就是slienteye工具加上提取出来的jpg，相当于明示选手这图片中是存在隐写数据的，但是同时修改了参数读取时top模式，需要选手自行尝试，得到密钥welcomeisctf，与刚才的密文进行异或后即为正确的flag。
非预期：审查wp时发现一种ai做法，对密钥能直接试出来的welcome，加上isctf的flag头，硬是猜出来的密钥，what can I say？ai还是太超模了，下次出题会注意对密钥的随机性调整的（）。
