סרוק קובץ מצורף בפורמט HTML או SVG כדי לאתר תוכן מוסתר, שרשראות atob/eval וטפסים חיצוניים.
חדש
מפענח רב-שכבתי
פועל מקומיתחדש
הכלי עצמו הוא באנגלית; דף זה מסביר את אופן השימוש בו בשפתך.
השתמש ב-מפענח רב-שכבתי
מה זה עושה
הדבק טקסט מקודד או מוסווה, והמפענח יקלף שכבה אחר שכבה, תוך הצגת כל שלב, עד שיישאר טקסט קריא או פורמט קובץ ידוע. הכל פועל בדפדפן שלך.
היא פועלת כולה בדפדפן שלך: שום דבר שאתה מזין לא מועלה.
כיצד להשתמש ב-מפענח רב-שכבתי
- הדבק את הטקסט המקודד. הדבק את המחרוזת בשדה "טקסט מקודד": בלוק Base64 מתוך סקריפט, מחרוזת הקסדצימלית ארוכה, טקסט המקודד בשיטת אחוזים או רשימת String.fromCharCode.
- פענוח. לחץ על "Decode layers" או על Ctrl+Enter. כל שכבה שזוהתה תוסר בתורה, עד 12 שכבות.
- קרא את השרשרת. הכותרת מפרטת את השכבות לפי סדר. בכל שלב מוצגים השיטה, הגודל לפני ואחרי, וכן תצוגה מקדימה.
- השתמש בתוצאה. העתק את הטקסט המפוענח, קרא את "האינדיקטורים" בתוצאה, או השתמש באפשרות "שלח אל" עבור "מנתח קבצים מצורפים ב-HTML", "מפרק קישורים", "ממיר IOC" או "מנטרל סיכוני URL".
- הכנסו את היד פנימה. אם פספסת שכבה, בחר שיטה תחת "פענוח כ-" והחל אותה. לחצ על "בטל" כדי לחזור אחורה לשכבה הקודמת.
דוגמה
קוד Base64 מקודד ב-URL של gzip
H4sIAAAAAAACA7MpTi7KLCixK8%2FMS8kv18vJT04syczP08soSk1TsFVQyigpKSi20tdPrUjMLchJ1UvOz9UvSy3KTKu0L04tLgYqtTVPM05UsrbRh5oEACvqcc1SAAAA3 layers: URL percent-encoding → Base64 → gzip
No further encoding recognised.
1
URL percent-encoding
1 escape · 130 → 128 bytes
H4sIAAAAAAACA7MpTi7KLCixK8/MS8kv18vJT04syczP08soSk1TsFVQyigpKSi20tdPrUjMLchJ1UvOz9UvSy3KTKu0L04tLgYqtTVPM05UsrbRh5oEACvqcc1SAAAA
2
Base64
decodes to gzip · 128 → 96 bytes
00000000 1f 8b 08 00 00 00 00 00 02 03 b3 29 4e 2e ca 2c |...........)N..,|
00000010 28 b1 2b cf cc 4b c9 2f d7 cb c9 4f 4e 2c c9 cc |(.+..K./...ON,..|
00000020 cf d3 cb 28 4a 4d 53 b0 55 50 ca 28 29 29 28 b6 |...(JMS.UP.())(.|
… 48 more bytes
3
gzip
96 → 82 bytes
<script>window.location.href = "hxxps://example[.]com/verify?session=7f3a";</script>
Result
Text, 82 bytes.
<script>window.location.href = "hxxps://example[.]com/verify?session=7f3a";</script>
Indicators in the result (1)
URL
hxxps://example[.]com/verify?session=7f3a
Copy indicators (raw)שלוש שכבות: קידוד אחוזים של כתובת ה-URL (%2F), Base64 שמתורגם לנתוני gzip, ו-gzip עצמו, המסתיים בסקריפט ששולח את הדפדפן לכתובת https://example.com/verify.
מה הוא בודק
| אות | מה זה אומר |
|---|---|
| שרשרת שכבות | הקידודים לפי הסדר, למשל Hex → Base64. מספר שכבות סביב קישור קצר או פקודה מעידות בדרך כלל על כך שמישהו רצה להסתיר אותם. |
| גודל לכל שלב | בייטים הנכנסים ויוצאים מכל שכבה. שכבת gzip או deflate שמתרחבת מאוד היא תוצאה של פעולת דחיסה רגילה. |
| טקסט ב-UTF-16LE | שני בתים לכל תו, כפי שמקובל ב-PowerShell -EncodedCommand. פקודה מפוענחת שמורידה או מפעילה משהו מהווה סימן אזהרה. |
| תוצאה בינארית | אם התוצאה הסופית אינה טקסט, מוצג דמפ הקסדצימלי של 512 הבתים הראשונים יחד עם הפורמט שזוהה. העתק אותו כקוד הקסדצימלי או כ-Base64; לעולם אל תריץ אותו. |
| מדדים בתוצאה | כתובות URL, כתובות דוא"ל וכתובות IPv4 שנמצאו בטקסט המפוענח, מוצגות בצורה מסוננת, עם כפתור להעתקתן במתכונתן המקורית. |
| הודעת עצירה | לא זוהתה קידוד נוסף, הגעה למגבלה של 12 שכבות, או שלב שיחזור על תוצאה קודמת. בגבול זה ייתכן שישנן שכבות נוספות. |
| אפשרות "ביטול הנשק" | מופעל כברירת מחדל: כתובות URL וכתובות דוא"ל בתוצאות מוצגות בצורה מוסתרת. הפונקציה "העתק" תמיד מספקת את הטקסט הגולמי. |
| אפשרות 'המשך קילוף' | לאחר ביצוע שלב "פענוח ידני", הפענוח נמשך באופן אוטומטי, אלא אם תסיר את הסימון מהאפשרות הזו. |
| לפרוק כרשימה | Base64, Base64 בטוח ל-URL, הקסדצימלי, קידוד אחוזים ב-URL, ישויות HTML, תווים מיוחדים, קודי תווים, quoted-printable, gzip, zlib, deflate גולמי ו-UTF-16LE, עבור שלבים שהמעבר האוטומטי מדלג עליהם. |
| כפתורי העתקה | האפשרות 'העתק' מציגה את הטקסט המפוענח במתכונת גולמית. תוצאה בינארית מציעה במקום זאת את האפשרויות 'העתק כ-hex' ו-'העתק כ-Base64'. |
דוגמאות נוספות
וקטור בדיקה של RFC 4648
Zm9vYmFyשכבה 1: Base64, 8 → 6 בתים. התוצאה היא הטקסט "foobar", הערך שפורסם ב-RFC 4648.
המר את כתובת ה-URL לקוד Hex ולאחר מכן לקוד Base64
6148523063484d364c793973623264706269356c654746746347786c4c6d356c644339795a584e6c64413d3d2 שכבות: הקסדצימלי → Base64 (88 → 44 → 31 בתים). התוצאה היא https://login.example.net/reset, המוצגת לאחר הסרת האותיות המסוכנות ומפורטת תחת "אינדיקטורים" בתוצאה.
פקודה מקודדת ב-PowerShell
UwB0AGEAcgB0AC0AUAByAG8AYwBlAHMAcwAgACcAaAB0AHQAcABzADoALwAvAGUAeABhAG0AcABsAGUALgBvAHIAZwAvAHUAcABkAGEAdABlACcA2 שכבות: Base64 → טקסט ב-UTF-16LE, המצוין כמאפיין טיפוסי של הפקודה `-EncodedCommand` ב-PowerShell. התוצאה היא `Start-Process 'https://example.org/update'`, כאשר כתובת ה-URL מופיעה כאינדיקטור.
שאלות נפוצות
אילו קידודים הוא מזהה?
Base64 (סטנדרטי ובטוח ל-URL, מילוי אופציונלי), הקסדצימלי בצורת טקסט רגיל, 0x, \x, עם רווחים או מופרד בנקודותיים, קידוד אחוזים ב-URL, ישויות HTML, תווים מילוט \x, \u, \u{…} ו-%u, רשימות String.fromCharCode, quoted-printable, gzip, zlib ו-deflate גולמי, וכן טקסט ב-UTF-16LE כגון PowerShell -EncodedCommand. גם קריאות כגון atob('…') או base64_decode('…') ו-URIs מסוג data: מפוענחים.
למה זה נעצר, או למה הטקסט שלי נשאר כפי שהוא?
שכבה מתקבלת רק כאשר התפוקה שלה היא טקסט קריא, פורמט קובץ מוכר או זרם שנפרש כהלכה, ולכן מילים רגילות שבמקרה הן תקפות ב-Base64 נותרות ללא שינוי. לפיכך, קידודים קצרים או יוצאי דופן עלולים להחמיץ: השתמש ב-Decode כדי להחיל שיטה באופן ידני וב-Undo כדי לחזור אחורה. התהליך נעצר לאחר 12 שכבות.
האם התוכן המפוענח מופעל או נשלח למקום כלשהו?
לא. פעולת הפענוח מתבצעת באמצעות JavaScript רגיל ו-DecompressionStream של הדפדפן; התוצאה מוצגת כטקסט או כקובץ הקסדצימלי, והיא לעולם לא מבוצעת, לא מוצגת ולא מועלית.
מאיפה מגיעים מחרוזות כאלה?
דפי פישינג וקבצים מצורפים מסתירים כתובות URL וקוד ב-Base64 או ב-hex, דפי ClickFix מעתיקים פקודות PowerShell מקודדות ללוח שלך, והודעות דוא"ל מגיעות בפורמט quoted-printable. הדבק את המחרוזת כאן במקום להריץ אותה.
האם אני יכול לפענח שכבה אחת בכל פעם?
כן. הסר את הסימון מהאפשרות "לאחר שלב ידני, המשך לקלף באופן אוטומטי", ולאחר מכן בחר שיטה תחת "פענח כ-" ולחץ על "החל" על התוצאה הנוכחית עבור כל שלב.
כמה טקסט אני יכול להדביק?
עד 5 מגה-בייט. תוצאות שאורכן עולה על 200,000 תווים יקוצרו על המסך, אך האפשרות "העתק" תציג את הטקסט המלא.
מהן "quoted-printable" ו-"percent-encoding"?
בשני המקרים, בייט נכתב כסימן שאחריו מופיעות שתי ספרות הקסדצימליות. שיטת ה-Quoted-printable מקורה בגופי הודעות דוא"ל, שבהן =3D מייצג את התו =. שיטת ה-Percent-encoding מקורה בכתובות URL, שבהן %2F מייצג את התו /.