PDF 和 Office 文档不是单纯“能打开的文件”。它们内部有结构、对象、资源、元数据、脚本和压缩内容，CTF 中经常把信息藏在这些层里。

一句话判断

GIF 和视频题的核心是“时间维度”。单帧看不出问题时，信息可能藏在帧顺序、帧差异、透明层、时间间隔或累计效果里。

一句话判断

动态文件单帧看不出异常时，按“拆帧、看差异、看时间、看透明层、看音轨、看容器”的顺序处理，不要只截图第一帧。

音频题不只靠听。很多信息藏在频域、声谱图、双音多频按键、左右声道差异或采样数据中。

一句话判断

音频题先不要只靠耳朵听；如果波形、频谱、声道、节奏、倒放或元数据异常，就把声音转成可观察的图、频率表和样本数据来验证。

压缩包题是 Misc 里最常见的基础题型之一。它不只是“解压文件”，还包括格式识别、伪装、损坏修复、密码爆破和多层嵌套。

一句话判断

看到压缩包、PK、Rar!、多层附件、解压失败、密码提示或“套娃”时，先区分真实加密、伪加密、损坏、分卷和嵌套，再按层验证而不是盲目爆破。

图片隐写题常常不是“看图猜字”，而是利用图片文件中像素、颜色通道、透明度或帧之间的细微差异藏信息。理解像素结构，是做图像 Misc 的基础。

日志记录系统、应用、网络或用户行为。CTF 中的日志题通常要求从大量正常记录中找异常事件、攻击路径、flag 片段或关键时间线。

一句话判断

看到 access.log、auth.log、syslog、evtx、审计记录或大量请求时，不要先搜最终答案；先按时间、来源、动作和结果建表，再从异常聚合中定位攻击链或 flag 片段。

流量包记录的是网络通信过程。CTF 中的 pcap、pcapng 文件经常藏着登录凭据、上传文件、下载内容、命令交互或分片数据。

一句话判断

看到 pcap、pcapng、Wireshark 截图、HTTP 上传下载、DNS 查询、TCP 交互或“还原通信过程”提示时，先把流量按协议、主机、会话和对象分层，再从可读明文或可重组文件里找 flag。