افحص مرفق HTML أو SVG بحثًا عن حمولات مخفية وسلاسل atob/eval ونماذج ترسل إلى مواقع خارجية.
جديدة
مفكك الترميز متعدد الطبقات
تعمل محليًاجديدة
الأداة نفسها باللغة الإنجليزية؛ وهذه الصفحة تشرحها بلغتك.
استخدم مفكك الترميز متعدد الطبقات
ما الذي يفعله
الصق نصًا مرمَّزًا أو مموّهًا وسينزع المفكك طبقة تلو الأخرى، مع عرض كل خطوة، حتى يبقى نص مقروء أو صيغة ملف معروفة. يجري كل شيء داخل متصفحك.
يعمل التطبيق بالكامل داخل متصفحك: ولا يتم تحميل أي شيء تدخله.
كيفية استخدام مفكك الترميز متعدد الطبقات
- الصق النص المرمَّز. الصق السلسلة في Encoded text: كتلة Base64 من سكربت، أو سلسلة ست عشرية طويلة، أو نص مرمَّز بالنسبة المئوية، أو قائمة String.fromCharCode.
- فك الترميز. اضغط Decode layers (فك الطبقات) أو Ctrl+Enter. تُنزع كل طبقة معروفة بالتتابع، حتى 12 طبقة.
- اقرأ السلسلة. يسرد العنوان الرئيسي الطبقات بالترتيب. وتعرض كل خطوة الطريقة والحجم قبلها وبعدها ومعاينة.
- استفد من النتيجة. انسخ النص المفكوك، أو اقرأ Indicators in the result، أو استخدم Send to لتمريره إلى HTML Attachment Analyzer أو Link Unwrapper أو IOC Converter أو URL Defanger.
- تدخّل يدويًا. إذا فاتته طبقة، فاختر طريقة تحت Decode as وطبّقها. ويعيدك Undo last layer خطوة إلى الوراء.
مثال
Base64 مرمَّز للروابط لبيانات gzip
H4sIAAAAAAACA7MpTi7KLCixK8%2FMS8kv18vJT04syczP08soSk1TsFVQyigpKSi20tdPrUjMLchJ1UvOz9UvSy3KTKu0L04tLgYqtTVPM05UsrbRh5oEACvqcc1SAAAA3 layers: URL percent-encoding → Base64 → gzip
No further encoding recognised.
1
URL percent-encoding
1 escape · 130 → 128 bytes
H4sIAAAAAAACA7MpTi7KLCixK8/MS8kv18vJT04syczP08soSk1TsFVQyigpKSi20tdPrUjMLchJ1UvOz9UvSy3KTKu0L04tLgYqtTVPM05UsrbRh5oEACvqcc1SAAAA
2
Base64
decodes to gzip · 128 → 96 bytes
00000000 1f 8b 08 00 00 00 00 00 02 03 b3 29 4e 2e ca 2c |...........)N..,|
00000010 28 b1 2b cf cc 4b c9 2f d7 cb c9 4f 4e 2c c9 cc |(.+..K./...ON,..|
00000020 cf d3 cb 28 4a 4d 53 b0 55 50 ca 28 29 29 28 b6 |...(JMS.UP.())(.|
… 48 more bytes
3
gzip
96 → 82 bytes
<script>window.location.href = "hxxps://example[.]com/verify?session=7f3a";</script>
Result
Text, 82 bytes.
<script>window.location.href = "hxxps://example[.]com/verify?session=7f3a";</script>
Indicators in the result (1)
URL
hxxps://example[.]com/verify?session=7f3a
Copy indicators (raw)ثلاث طبقات: ترميز URL بالنسبة المئوية (%2F)، وBase64 يُفك إلى بيانات gzip، وgzip نفسه، وتنتهي بسكربت يرسل المتصفح إلى https://example.com/verify.
ما الذي يتحقق منه
| إشارة | ماذا يعني ذلك |
|---|---|
| سلسلة الطبقات | الترميزات بالترتيب، مثل Hex → Base64. وعدة طبقات حول رابط قصير أو أمر تعني عادةً أن أحدهم أراد إخفاءه. |
| الحجم في كل خطوة | البايتات الداخلة إلى كل طبقة والخارجة منها. وطبقة gzip أو deflate التي يكبر حجمها كثيرًا مجرد فك ضغط عادي. |
| نص UTF-16LE | بايتان لكل حرف، وهو نمط معتاد في PowerShell -EncodedCommand. والأمر المفكوك الذي ينزّل شيئًا أو يشغّله علامة إنذار. |
| نتيجة ثنائية | إذا لم تكن النتيجة النهائية نصًا، يُعرض تفريغ ست عشري لأول 512 بايت مع الصيغة المكتشفة. انسخها كست عشري أو Base64؛ ولا تشغّلها أبدًا. |
| Indicators in the result | روابط URL وعناوين البريد الإلكتروني وعناوين IPv4 الموجودة في النص المفكوك، معروضة بصيغة محيَّدة، مع زر لنسخها خامًا. |
| رسالة التوقف | لم يُتعرّف على ترميز آخر، أو بلوغ حد 12 طبقة، أو خطوة ستكرر نتيجة سابقة. وعند بلوغ الحد قد توجد طبقات أخرى. |
| خيار التحييد | مفعّل افتراضيًا: تُعرض روابط URL وعناوين البريد الإلكتروني في النتيجة بصيغة محيَّدة. أما Copy فيعطي دائمًا النص الخام. |
| خيار مواصلة النزع | بعد خطوة Decode as يدوية، يستمر فك الترميز تلقائيًا ما لم تُلغِ تحديد هذا الخيار. |
| قائمة Decode as | Base64، وBase64 الآمن للروابط، والست عشري، وترميز URL بالنسبة المئوية، وكيانات HTML، وتسلسلات الهروب، ورموز الأحرف، وquoted-printable، وgzip، وzlib، وdeflate الخام، وUTF-16LE، للخطوات التي يتجاوزها المرور التلقائي. |
| أزرار النسخ | يعطي Copy النص المفكوك خامًا. أما النتيجة الثنائية فتقدّم بدلًا من ذلك Copy as hex وCopy as Base64. |
المزيد من الأمثلة
متجه اختبار RFC 4648
Zm9vYmFyطبقة واحدة: Base64، من 8 إلى 6 بايتات. النتيجة هي النص foobar، وهو القيمة المنشورة في RFC 4648.
ست عشري حول Base64 حول رابط
6148523063484d364c793973623264706269356c654746746347786c4c6d356c644339795a584e6c64413d3dطبقتان: Hex → Base64 (88 → 44 → 31 بايت). النتيجة هي https://login.example.net/reset، معروضة بصيغة محيَّدة ومدرجة تحت Indicators in the result.
أمر PowerShell مرمَّز
UwB0AGEAcgB0AC0AUAByAG8AYwBlAHMAcwAgACcAaAB0AHQAcABzADoALwAvAGUAeABhAG0AcABsAGUALgBvAHIAZwAvAHUAcABkAGEAdABlACcAطبقتان: Base64 → نص UTF-16LE، مع ملاحظة بأنه نمط معتاد في PowerShell -EncodedCommand. النتيجة هي Start-Process 'https://example.org/update'، والرابط مدرج كمؤشر.
الأسئلة الشائعة
ما الترميزات التي يتعرّف عليها؟
Base64 (القياسي والآمن للروابط، والحشو اختياري)، والست عشري بالصيغة العادية أو مع 0x أو \x أو مفصولًا بمسافات أو نقطتين، وترميز URL بالنسبة المئوية، وكيانات HTML، وتسلسلات الهروب \x و\u و\u{…} و%u، وقوائم String.fromCharCode، وquoted-printable، وgzip وzlib وdeflate الخام، ونص UTF-16LE مثل PowerShell -EncodedCommand. وتُفك أيضًا الاستدعاءات مثل atob('…') أو base64_decode('…') وروابط data: URI.
لماذا توقف، أو ترك نصي كما هو؟
لا تُقبل الطبقة إلا إذا كان ناتجها نصًا مقروءًا، أو صيغة ملف معروفة، أو تدفقًا يُفك ضغطه بسلامة، لذا تُترك الكلمات العادية التي تصادف أنها Base64 صالحة كما هي. لذلك قد تفوته الترميزات القصيرة أو غير المعتادة: استخدم Decode as لتطبيق طريقة يدويًا وUndo للرجوع خطوة. ويتوقف بعد 12 طبقة.
هل يُشغَّل المحتوى المفكوك أو يُرسل إلى أي مكان؟
لا. يستخدم فك الترميز JavaScript عادية وDecompressionStream في المتصفح؛ وتُعرض النتيجة كنص أو كتفريغ ست عشري (hex dump) ولا تُنفَّذ ولا تُعرض كصفحة ولا تُرفع أبدًا.
من أين تأتي مثل هذه السلاسل؟
تخفي صفحات التصيد ومرفقاته الروابط والشيفرة في Base64 أو الست عشري، وتنسخ صفحات ClickFix أوامر PowerShell مرمَّزة إلى حافظتك، وتصل رسائل البريد الإلكتروني بترميز quoted-printable. الصق السلسلة هنا بدلًا من تشغيلها.
هل يمكنني فك طبقة واحدة في كل مرة؟
نعم. ألغِ تحديد After a manual step, keep peeling automatically، ثم اختر طريقة تحت Decode as واضغط Apply to the current result لكل خطوة.
كم من النص يمكنني لصقه؟
حتى 5 ميغابايت. تُختصر على الشاشة النتائج التي تتجاوز 200,000 حرف، لكن Copy يعطي النص كاملًا.
ما quoted-printable وترميز النسبة المئوية؟
كلاهما يكتب البايت كعلامة تليها خانتان ست عشريتان. يأتي quoted-printable من نصوص رسائل البريد الإلكتروني، حيث تعني =3D العلامة =. ويأتي ترميز النسبة المئوية من روابط URL، حيث تعني %2F العلامة /.