MD5، SHA-1 و SHA-256 هر فایل، همراه با لینک‌های جستجوی آماده در VirusTotal و MalwareBazaar.
جدید
تشخیص نوع واقعی فایل
اجرای محلیجدید
خود ابزار به زبان انگلیسی است؛ این صفحه آن را به زبان شما توضیح میدهد.
از تشخیص نوع واقعی فایل استفاده کنید
کارکرد
فایلی را رها کنید تا ببینید واقعاً چیست، بر اساس بایت‌هایش و نه نامش، و اینکه آیا نام، پسوند یا محتوا می‌کوشد این را پنهان کند. هیچ چیز بارگذاری یا باز نمیشود.
این کاملاً در مرورگر شما اجرا میشود: هیچ‌یک از اطلاعاتی که وارد می‌کنید بارگذاری نمیشود.
چگونه از تشخیص نوع واقعی فایل استفاده کنیم
- فایل را باز نکنید. پیوست یا فایل دانلودشده را بدون باز کردن ذخیره کنید.
- فایل‌ها را رها یا انتخاب کنید. یک یا چند فایل را روی کادر رها کنید یا آنها را انتخاب کنید. در هر بار رها کردن حداکثر ۵۰ فایل بررسی میشود و هر کدام کارت جداگانهٔ خود را دارد.
- نوع و پسوند را مقایسه کنید. Detected type، Kind و Extension در بالا نمایش داده میشوند. عبارت قرمز «does not match» (مطابقت ندارد) یعنی نام دربارهٔ محتوا دروغ می‌گوید.
- هشدارها و جزئیات را بخوانید. کادرهای Danger (خطر) و Warning (هشدار) هر ترفند پنهانسازی یا ویژگی پرخطر را توضیح می‌دهند. زیر آنها بایتهای امضا، ورودی‌های آرشیو، کلیدواژههای PDF و نمایش hex بایتهای اول آمده است.
- گام بعدی را بردارید. ابزار پیشنهادی را دنبال کنید، مانند File Hash Calculator برای جستجو در VirusTotal، و همان فایل را آنجا رها کنید.
مثال
پیوست با ترفند HTML smuggling
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.خط اول نام فایل و بقیه محتوای آن میشود. ابزار یک سند HTML گزارش میکند، پسوند دوگانهٔ .pdf.html و الگوی HTML smuggling (atob، Blob و یک دانلود اجباری) را علامت می‌زند و به HTML Attachment Analyzer ارجاع میدهد.
آنچه بررسی میکند
| سیگنال | معنای آن |
|---|---|
| نوع تشخیص‌داده‌شده و پسوند | پسوند مطابقت دارد، مطابقت ندارد، بررسی نمیشود یا وجود ندارد. عدم تطابق نشانهٔ اصلی یک فایل مبدل است. |
| کد در ظاهر سند یا تصویر | Danger: محتوا برنامه، میان‌بر یا اسکریپت است در حالی که نام، فایلی بی‌خطر را وعده میدهد. برای اسکریپتی که با پسوند .txt ذخیره شده باشد، به‌جای آن هشدار (Warning) نمایش داده میشود. |
| پسوند دوگانه | نامی مانند statement.pdf.exe یا invoice.pdf.html: پسوند اول فقط ظاهری است. |
| Right-to-left override و نویسه‌های نامرئی | ترفندهای Unicode که باعث میشوند نام فایل یک پسوند جعلی نشان دهد. پسوند واقعی گزارش میشود. |
| محتوای آرشیو | فایلهای اجرایی، اسکریپت‌ها، میانبرها، فایلهای HTML و پسوندهای دوگانه درون ZIP، ورودی‌های رمزگذاری‌شده و مسیرهای Zip Slip بدون استخراج چیزی علامت زده میشوند. |
| ماکروها و اشیای Office | پروژه‌های VBA، برگه‌های ماکروی Excel 4.0، اشیای OLE جاسازی‌شده، اشیای Equation Editor و اسناد محافظت‌شده با رمز عبور. |
| کلیدواژههای PDF | JavaScript همراه با کنش خودکار هنگام باز شدن، /Launch، فایلهای جاسازی‌شده، ارسال فرم و نام‌های مبهم‌سازی‌شده. |
| میانبرها و ایمیجهای دیسک | فایلهای LNK که ابزارهای خط فرمان را اجرا میکنند یا به مکان‌های راه دور اشاره دارند، و ایمیجهای ISO، IMG یا VHD که برای دور زدن هشدارهای دانلود به کار می‌روند. |
| HTML و SVG | الگوهای smuggling، فرم‌های دریافت اطلاعات ورود که داده را به جای دیگری ارسال میکنند و اسکریپت‌های درون کد نشانه‌گذاری. |
| ZIP الحاق‌شده | یادداشتی که وقتی یک آرشیو ZIP در انتهای فایل دیگری قرار دارد نمایش داده میشود: یک آرشیو خوداستخراج، یک نصب‌کننده یا یک فایل polyglot که در دو قالب معتبر است. |
نمونه‌های بیشتر
برنامهای درون ZIP
Statement.zip containing one file, Statement.pdf.exeآرشیو ZIP، پسوند .zip مطابقت دارد. دو هشدار خطر: شامل یک فایل اجرایی، اسکریپت یا میان‌بر است (Statement.pdf.exe) و نام یکی از ورودی‌ها پسوند دوگانه دارد. فهرست Entries این فایل را با «runs code» (کد اجرا میکند) علامت می‌زند.
فایل اجرایی با نام عکس
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)DOS / 16-bit executable (MZ)؛ پسوند .jpg مطابقت ندارد. Danger: فایل اجرایی در ظاهر .jpg پنهان شده است، نامی که فایلی بی‌خطر را وعده میدهد در حالی که محتوا کد است.
PDFای که هنگام باز شدن JavaScript اجرا میکند
scan.pdf whose /OpenAction points to a /JavaScript actionسند PDF، پسوند .pdf مطابقت دارد. Danger: شامل JavaScript و یک کنش خودکار است که میتواند هنگام باز شدن فایل آن را اجرا کند. ردیف Keywords موارد /JavaScript، /JS و /OpenAction را فهرست میکند.
سوالات متداول
ابزار چگونه تشخیص میدهد که یک فایل چیست؟
بایتهای اول و آفستهای ثابتی مانند 0x8001 برای ایمیجهای ISO یا 257 برای TAR را با حدود ۱۰۰ امضای قالب مقایسه میکند، سپس درون ساختارهای ZIP، OLE2، PE، LNK، PDF و RTF را بررسی میکند: بخشها و ماکروهای Office، جریانهای MSI و Outlook، EXE یا DLL و نوع CPU، مقصد میانبرها و کلیدواژههای کنش در PDF. فایلهای متنی بر اساس نشانههایی مانند خط shebang، تگهای HTML یا نحو PowerShell دستهبندی میشوند.
چه چیزهایی را ممکن است نبیند یا اشتباه تشخیص دهد؟
قالبهای متنی با روشهای تقریبی (heuristic) شناخته میشوند، پس ممکن است یک اسکریپت کوتاه بهعنوان متن ساده گزارش شود، و کلیدواژههای PDF درون جریانهای شیء فشرده برای آن دیده نمیشوند. ابزار نوع فایل و ترفندهای پنهانسازی را توصیف میکند اما بدافزار را اسکن نمیکند، پس نتیجهٔ بدون هشدار حکم نهایی نیست.
آیا فایل بارگذاری یا باز میشود؟
خیر. مرورگر فقط بازههای بایتی لازم را از فایل روی دستگاه شما میخواند، هیچ چیز اجرا یا نمایش داده نمیشود و هیچ چیز از طریق شبکه فرستاده نمیشود.
چرا فایلی با نام .jpg یا .pdf میتواند خطرناک باشد؟
فیلترهای ایمیل اغلب فایل را از روی پسوندش قضاوت میکنند. برنامهای که به .jpg تغییر نام داده شده میتواند از آنها عبور کند و برای اجرای دوباره فقط به یک تغییر نام یا یک لودر نیاز دارد، و صفحهٔ HTMLای که نامش .pdf است ممکن است در مرورگر به شکل یک صفحهٔ ورود جعلی باز شود.
آیا می‌توانم چند فایل را هم‌زمان بررسی کنم؟
بله. حداکثر ۵۰ فایل را رها یا انتخاب کنید؛ هر کدام کارت نتیجهٔ جداگانه‌ای می‌گیرد و Clear (پاک کردن) همه را حذف میکند.
پس از هشدار خطر چه کنم؟
فایل را باز نکنید. هش آن را با File Hash Calculator بگیرید، مقدار SHA-256 را در VirusTotal یا MalwareBazaar جستجو کنید و فرستنده را به ارائه‌دهندهٔ ایمیل خود گزارش دهید.