किसी भी फ़ाइल का MD5, SHA-1 और SHA-256, साथ में VirusTotal और MalwareBazaar पर खोजने के तैयार लिंक।
नया
फ़ाइल प्रकार स्निफ़र
स्थानीय रूप से चलता हैनया
यह उपकरण स्वयं अंग्रेज़ी में है; यह पृष्ठ इसे आपकी भाषा में समझाता है।
फ़ाइल प्रकार स्निफ़र का उपयोग करें
यह क्या करता है
किसी फ़ाइल को ड्रॉप करें और देखें कि वह वास्तव में क्या है, उसके नाम के बजाय उसके बाइट्स के आधार पर आंका गया, और यह भी कि क्या उसका नाम, एक्सटेंशन या सामग्री इसे छिपाने की कोशिश कर रही है। कुछ भी अपलोड या खोला नहीं जाता।
यह पूरी तरह से आपके ब्राउज़र में चलता है: आप जो कुछ भी दर्ज करते हैं वह अपलोड नहीं होता।
फ़ाइल प्रकार स्निफ़र का उपयोग कैसे करें
- फ़ाइल बंद रखें. संलग्नक को खोलने के बिना सहेजें या डाउनलोड करें।
- फ़ाइलें छोड़ें या चुनें. एक या अधिक फ़ाइलें बॉक्स पर ड्रॉप करें या उन्हें चुनें। प्रत्येक ड्रॉप में अधिकतम 50 फ़ाइलें जाँची जाती हैं, प्रत्येक अपनी अलग कार्ड में।
- प्रकार और एक्सटेंशन की तुलना करें. डिटेक्टेड टाइप, काइंड और एक्सटेंशन सबसे ऊपर दिखाई देते हैं। लाल "मैच नहीं करता" का मतलब है कि नाम सामग्री के बारे में झूठ बोलता है।
- झंडों और विवरणों को पढ़ें. खतरा और चेतावनी बॉक्स प्रत्येक छद्मवेश या जोखिम भरे विशेषता को समझाते हैं। उनके नीचे हस्ताक्षर बाइट्स, आर्काइव प्रविष्टियाँ, PDF कीवर्ड्स और पहले बाइट्स का हेक्स डंप होता है।
- अगला कदम उठाएँ. सुझाए गए टूल, जैसे VirusTotal लुकअप के लिए File Hash Calculator, का उपयोग करें और उसी फ़ाइल को वहाँ अपलोड करें।
उदाहरण
HTML तस्करी संलग्नक
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.पहली पंक्ति फ़ाइल का नाम बन जाती है और बाकी उसका सामग्री भाग होता है। स्निफ़र एक HTML दस्तावेज़ की रिपोर्ट करता है, .pdf.html डबल एक्सटेंशन और HTML स्मगलिंग पैटर्न (atob, Blob और एक जबरदस्ती डाउनलोड) को चिह्नित करता है, और HTML अटैचमेंट एनालाइज़र की ओर इशारा करता है।
यह क्या जाँचता है
| संकेत | इसका क्या मतलब है |
|---|---|
| प्रकार और एक्सटेंशन का पता चला | विस्तार मेल खाता है, मेल नहीं खाता, जांचा नहीं गया है या अनुपस्थित है। एक असंगति छिपी हुई फ़ाइल का मुख्य संकेत है। |
| दस्तावेज़ या छवि के रूप में छिपाया गया कोड | खतरा: सामग्री एक प्रोग्राम, शॉर्टकट या स्क्रिप्ट है, जबकि नाम एक हानिरहित फ़ाइल का वादा करता है। .txt के रूप में सहेजी गई स्क्रिप्ट के लिए इसके बजाय चेतावनी दिखाई जाती है। |
| दोहरी विस्तार | statement.pdf.exe या invoice.pdf.html जैसा नाम: पहली एक्सटेंशन सिर्फ सजावट है। |
| दाएँ-से-बाएँ ओवरराइड और अदृश्य अक्षर | यूनिकोड ट्रिक्स जो नाम के साथ एक नकली एक्सटेंशन दिखाती हैं। वास्तविक एक्सटेंशन रिपोर्ट किया जाता है। |
| संग्रह सामग्री | एक्ज़ीक्यूटेबल फाइलें, स्क्रिप्ट्स, शॉर्टकट्स, HTML फाइलें और ZIP के अंदर की डबल एक्सटेंशन, एन्क्रिप्टेड प्रविष्टियाँ और Zip Slip पथ बिना कुछ भी निकालने के ही चिह्नित किए जाते हैं। |
| ऑफ़िस मैक्रोज़ और ऑब्जेक्ट्स | VBA प्रोजेक्ट्स, Excel 4.0 मैक्रो शीट्स, एम्बेडेड OLE ऑब्जेक्ट्स, इक्वेशन एडिटर ऑब्जेक्ट्स और पासवर्ड-संरक्षित दस्तावेज़। |
| पीडीएफ कीवर्ड्स | स्वचालित रूप से खुलने वाली क्रिया, /Launch, एम्बेडेड फ़ाइलें, फ़ॉर्म सबमिशन और अस्पष्ट नामों के साथ जावास्क्रिप्ट। |
| शॉर्टकट और डिस्क इमेज | LNK फ़ाइलें जो कमांड टूल्स चलाती हैं या दूरस्थ स्थानों की ओर इशारा करती हैं, और डाउनलोड चेतावनियों से बचने के लिए उपयोग की जाने वाली ISO, IMG या VHD इमेज। |
| HTML और SVG | तस्करी के पैटर्न, प्रमाणपत्र फॉर्म जो कहीं और पोस्ट किए जाते हैं और मार्कअप के अंदर स्क्रिप्ट। |
| संलग्न ज़िप | एक नोट जब एक ZIP आर्काइव किसी अन्य फ़ाइल के अंत में स्थित हो: एक स्व-अनुकूलन आर्काइव, एक इंस्टॉलर या एक बहुभाषी फ़ाइल जो दो प्रारूपों में मान्य है। |
और उदाहरण
ज़िप के अंदर एक प्रोग्राम
Statement.zip containing one file, Statement.pdf.exeZIP आर्काइव, .zip मेल खाता है। दो खतरे के झंडे: इसमें एक निष्पादन योग्य, स्क्रिप्ट या शॉर्टकट फ़ाइल (Statement.pdf.exe) है, और एक प्रविष्टि के नाम में डबल एक्सटेंशन है। प्रविष्टियाँ सूची फ़ाइल को "कोड चलाता है" के रूप में चिह्नित करती है।
एक फोटो नामक निष्पादन योग्य फ़ाइल
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)DOS / 16-बिट निष्पादन योग्य (MZ); .jpg मेल नहीं खाता। खतरा: निष्पादन योग्य फ़ाइल को .jpg के रूप में छिपाया गया है, एक ऐसा नाम जो एक हानिरहित फ़ाइल का भरोसा दिलाता है जबकि इसकी सामग्री कोड है।
एक PDF जो खुलते ही जावास्क्रिप्ट चलाता है
scan.pdf whose /OpenAction points to a /JavaScript actionPDF दस्तावेज़, .pdf मिलान। खतरा: इसमें JavaScript है और एक स्वचालित क्रिया है जो फ़ाइल खुलते ही इसे चला सकती है। कीवर्ड्स पंक्ति में /JavaScript, /JS और /OpenAction सूचीबद्ध हैं।
अक्सर पूछे जाने वाले प्रश्न
स्निफर यह कैसे तय करता है कि कोई फ़ाइल क्या है?
यह पहले बाइट्स की तुलना करता है, और ISO इमेज के लिए 0x8001 या TAR के लिए 257 जैसे निश्चित ऑफ़सेट्स की तुलना लगभग 100 फॉर्मेट सिग्नेचर से करता है, फिर ZIP, OLE2, PE, LNK, PDF और RTF संरचनाओं के अंदर देखता है: Office पार्ट्स और मैक्रोज़, MSI और Outlook स्ट्रीम्स, EXE या DLL और CPU प्रकार, शॉर्टकट टार्गेट्स और PDF एक्शन कीवर्ड्स। टेक्स्ट फ़ाइलों को शीबैंग लाइन, HTML टैग्स या PowerShell सिंटैक्स जैसे मार्करों द्वारा वर्गीकृत किया जाता है।
यह क्या चूक सकता है या क्या गलत कर सकता है?
टेक्स्ट प्रारूपों को ह्यूरिस्टिक्स द्वारा पहचाना जाता है, इसलिए एक छोटा स्क्रिप्ट सादा पाठ के रूप में रिपोर्ट किया जा सकता है, और संपीड़ित ऑब्जेक्ट स्ट्रीम्स में मौजूद PDF कीवर्ड्स इसके लिए दृश्यमान नहीं होते। यह फ़ाइल प्रकार और छलावा तकनीकों का वर्णन करता है, लेकिन मैलवेयर के लिए स्कैन नहीं करता, इसलिए एक स्वच्छ परिणाम अंतिम निर्णय नहीं होता।
क्या फ़ाइल अपलोड की गई है या खोली गई है?
नहीं। ब्राउज़र केवल आपकी डिवाइस पर मौजूद फ़ाइल से उन बाइट रेंज को पढ़ता है जिनकी उसे आवश्यकता होती है, कुछ भी निष्पादित या रेंडर नहीं किया जाता, और नेटवर्क पर कुछ भी भेजा नहीं जाता।
.jpg या .pdf नाम की फ़ाइल खतरनाक क्यों हो सकती है?
मेल फ़िल्टर अक्सर किसी फ़ाइल को उसकी एक्सटेंशन के आधार पर आंकते हैं। .jpg में नाम बदलकर कोई प्रोग्राम इन फ़िल्टरों को चकमा दे सकता है और उसे दोबारा चलाने के लिए केवल नाम बदलने या लोडर की आवश्यकता होती है, और .pdf नामक कोई HTML पेज ब्राउज़र में नकली लॉगिन पेज के रूप में खुल सकता है।
क्या मैं एक साथ कई फ़ाइलों की जाँच कर सकता हूँ?
हाँ। 50 फ़ाइलों तक ड्रॉप या चुनें; प्रत्येक को अपना परिणाम कार्ड मिलता है, और क्लियर सभी को हटा देता है।
खतरे के झंडे के बाद मुझे क्या करना चाहिए?
फ़ाइल न खोलें। इसे File Hash Calculator से हैश करें, SHA-256 को VirusTotal या MalwareBazaar पर देखें, और प्रेषक की रिपोर्ट अपने मेल प्रदाता को करें।