छिपी हुई पेलोड, atob/eval चेन और ऑफ-साइट फॉर्म के लिए HTML या SVG अटैचमेंट को स्कैन करें।
नया
बहु-परत डीकोडर
स्थानीय रूप से चलता हैनया
यह उपकरण स्वयं अंग्रेज़ी में है; यह पृष्ठ इसे आपकी भाषा में समझाता है।
बहु-परत डीकोडर का उपयोग करें
यह क्या करता है
एन्कोड या अस्पष्ट किए गए टेक्स्ट को पेस्ट करें और डीकोडर एक-एक परत खोलता है, प्रत्येक चरण दिखाते हुए, जब तक कि पठनीय टेक्स्ट या कोई ज्ञात फ़ाइल प्रारूप न बच जाए। सब कुछ आपके ब्राउज़र में चलता है।
यह पूरी तरह से आपके ब्राउज़र में चलता है: आप जो कुछ भी दर्ज करते हैं वह अपलोड नहीं होता।
बहु-परत डीकोडर का उपयोग कैसे करें
- एन्कोड किया गया टेक्स्ट पेस्ट करें. स्ट्रिंग को एन्कोडेड टेक्स्ट में पेस्ट करें: स्क्रिप्ट से एक Base64 ब्लॉब, एक लंबी हेक्स स्ट्रिंग, प्रतिशत-एन्कोडेड टेक्स्ट या String.fromCharCode सूची।
- डिकोड. लेयर्स को डीकोड करें या Ctrl+Enter दबाएँ। प्रत्येक पहचानी गई परत को बारी-बारी से उजागर किया जाता है, अधिकतम 12 तक।
- चेन पढ़ें. शीर्षक परतों को क्रमबद्ध रूप से सूचीबद्ध करता है। प्रत्येक चरण में विधि, पहले और बाद का आकार, और एक पूर्वावलोकन दिखाया जाता है।
- परिणाम का उपयोग करें. डिकोड किए गए टेक्स्ट की प्रतिलिपि बनाएँ, परिणाम में संकेतकों को पढ़ें, या HTML अटैचमेंट एनालाइज़र, लिंक अनरैपर, IOC कन्वर्टर या URL डिफेंजर के लिए 'Send to' का उपयोग करें।
- हाथ से कदम रखें. यदि कोई परत छूट जाए, तो Decode as के अंतर्गत कोई विधि चुनें और लागू करें। पिछली परत को रद्द करने के लिए Undo का उपयोग करें।
उदाहरण
जीज़िप का URL-एनकोडेड Base64
H4sIAAAAAAACA7MpTi7KLCixK8%2FMS8kv18vJT04syczP08soSk1TsFVQyigpKSi20tdPrUjMLchJ1UvOz9UvSy3KTKu0L04tLgYqtTVPM05UsrbRh5oEACvqcc1SAAAA3 layers: URL percent-encoding → Base64 → gzip
No further encoding recognised.
1
URL percent-encoding
1 escape · 130 → 128 bytes
H4sIAAAAAAACA7MpTi7KLCixK8/MS8kv18vJT04syczP08soSk1TsFVQyigpKSi20tdPrUjMLchJ1UvOz9UvSy3KTKu0L04tLgYqtTVPM05UsrbRh5oEACvqcc1SAAAA
2
Base64
decodes to gzip · 128 → 96 bytes
00000000 1f 8b 08 00 00 00 00 00 02 03 b3 29 4e 2e ca 2c |...........)N..,|
00000010 28 b1 2b cf cc 4b c9 2f d7 cb c9 4f 4e 2c c9 cc |(.+..K./...ON,..|
00000020 cf d3 cb 28 4a 4d 53 b0 55 50 ca 28 29 29 28 b6 |...(JMS.UP.())(.|
… 48 more bytes
3
gzip
96 → 82 bytes
<script>window.location.href = "hxxps://example[.]com/verify?session=7f3a";</script>
Result
Text, 82 bytes.
<script>window.location.href = "hxxps://example[.]com/verify?session=7f3a";</script>
Indicators in the result (1)
URL
hxxps://example[.]com/verify?session=7f3a
Copy indicators (raw)तीन परतें: URL प्रतिशत-एनकोडिंग (%2F), Base64 जो gzip डेटा में डीकोड होता है, और gzip स्वयं, जो अंत में एक स्क्रिप्ट चलाता है जो ब्राउज़र को https://example.com/verify पर भेजता है।
यह क्या जाँचता है
| संकेत | इसका क्या मतलब है |
|---|---|
| परत श्रृंखला | क्रमागत एन्कोडिंग्स, उदाहरण के लिए Hex → Base64। एक छोटे URL या कमांड के चारों ओर कई परतें आमतौर पर इस बात का संकेत देती हैं कि कोई इसे छिपाना चाहता था। |
| प्रति चरण आकार | प्रत्येक परत में बाइट्स का आना-जाना। एक gzip या deflate परत जो बहुत बढ़ती है, वह सामान्य डीकंप्रेसन है। |
| UTF-16LE पाठ | प्रति वर्ण दो बाइट, जो PowerShell -EncodedCommand के लिए सामान्य है। एक डिकोड की गई कमांड जो कुछ डाउनलोड करती है या शुरू करती है, एक चेतावनी संकेत है। |
| द्विआधारी परिणाम | यदि अंतिम परिणाम टेक्स्ट नहीं है, तो पहचाने गए प्रारूप के साथ पहले 512 बाइट्स का हेक्स डंप दिखाया जाता है। इसे हेक्स या Base64 के रूप में कॉपी करें; कभी भी इसे न चलाएं। |
| परिणाम में संकेतक | डिकोड किए गए टेक्स्ट में पाए गए URL, ईमेल पते और IPv4 पते, जिन्हें सुरक्षित रूप से दिखाया गया है, साथ ही उन्हें कच्चे रूप में कॉपी करने के लिए एक बटन। |
| रोक संदेश | आगे कोई अतिरिक्त एन्कोडिंग नहीं पहचानी गई, 12-परतों की सीमा, या ऐसा चरण जो पहले के परिणाम को दोहराए। सीमा पर और अधिक परतें हो सकती हैं। |
| डिफैंग विकल्प | डिफ़ॉल्ट रूप से चालू: परिणाम में यूआरएल और ईमेल पते फ़िल्टर किए हुए दिखाए जाते हैं। कॉपी हमेशा मूल पाठ देता है। |
| छीलना जारी रखें विकल्प | मैनुअल डीकोड चरण के बाद, डीकोडिंग स्वचालित रूप से जारी रहती है जब तक कि आप इसे अनटिक न करें। |
| सूची के रूप में डिकोड करें | Base64, URL-सुरक्षित Base64, हेक्स, URL प्रतिशत-एनकोडिंग, HTML एंटिटीज़, एस्केप्स, कैरेक्टर कोड्स, कोटेड-प्रिंटेबल, gzip, zlib, कच्चा डिफ्लेट और UTF-16LE, उन चरणों के लिए जिन्हें स्वचालित पास छोड़ देता है। |
| बटन कॉपी करें | Copy डिकोड किए गए टेक्स्ट को कच्चे रूप में देता है। एक बाइनरी परिणाम इसके बजाय Copy को हेक्स और Base64 के रूप में प्रदान करता है। |
और उदाहरण
आरएफसी 4648 परीक्षण वेक्टर
Zm9vYmFy1 परत: Base64, 8 → 6 बाइट्स। परिणाम foobar पाठ है, RFC 4648 में प्रकाशित मान।
URL के चारों ओर Base64 और उसके चारों ओर हेक्स
6148523063484d364c793973623264706269356c654746746347786c4c6d356c644339795a584e6c64413d3d2 परतें: Hex → Base64 (88 → 44 → 31 बाइट्स)। परिणाम https://login.example.net/reset है, जिसे निष्क्रिय कर दिखाया गया है और परिणाम में संकेतकों के अंतर्गत सूचीबद्ध किया गया है।
पावरशेल एन्कोडेड कमांड
UwB0AGEAcgB0AC0AUAByAG8AYwBlAHMAcwAgACcAaAB0AHQAcABzADoALwAvAGUAeABhAG0AcABsAGUALgBvAHIAZwAvAHUAcABkAGEAdABlACcA2 परतें: Base64 → UTF-16LE टेक्स्ट, जिसे PowerShell -EncodedCommand के रूप में सामान्य माना जाता है। परिणाम है Start-Process 'https://example.org/update', जिसमें URL को संकेतक के रूप में सूचीबद्ध किया गया है।
अक्सर पूछे जाने वाले प्रश्न
यह किन एन्कोडिंगों को पहचानता है?
Base64 (मानक और URL-सुरक्षित, पैडिंग वैकल्पिक), प्लेन में हेक्स, 0x, \x, रिक्त स्थान या कोलन-सेपरेटेड रूप, URL प्रतिशत-एनकोडिंग, HTML एंटिटीज़, \x, \u, \u{…} और %u एस्केप्स, String.fromCharCode सूचियाँ, quoted-printable, gzip, zlib और कच्चा deflate, और PowerShell -EncodedCommand जैसे UTF-16LE टेक्स्ट। atob('…') या base64_decode('…') जैसी कॉल और data: URI भी अनरैप किए जाते हैं।
यह क्यों रुक गया, या मेरी टेक्स्ट को जैसा है वैसा ही क्यों छोड़ दिया?
एक परत तभी स्वीकार की जाती है जब उसका आउटपुट पठनीय टेक्स्ट, कोई ज्ञात फ़ाइल प्रारूप या एक ऐसी स्ट्रीम हो जो बिना किसी त्रुटि के डीकंप्रेस हो, इसलिए सामान्य शब्द जो संयोग से वैध Base64 होते हैं, उन्हें वैसे ही छोड़ दिया जाता है। इसलिए छोटी या असामान्य एन्कोडिंग्स छूट सकती हैं: किसी विधि को हाथ से लागू करने के लिए Decode as का उपयोग करें और पीछे हटने के लिए Undo का। यह 12 परतों के बाद रुक जाता है।
क्या डिकोड की गई सामग्री कहीं चलायी या भेजी जाती है?
नहीं। डीकोडिंग साधारण जावास्क्रिप्ट और ब्राउज़र के DecompressionStream का उपयोग करती है; परिणाम टेक्स्ट या हेक्स डंप के रूप में दिखाया जाता है और इसे कभी भी निष्पादित, रेंडर या अपलोड नहीं किया जाता।
इस तरह की स्ट्रिंग्स कहाँ से आती हैं?
फ़िशिंग पेज और अटैचमेंट Base64 या हेक्स में URLs और कोड छिपाते हैं, ClickFix पेज एन्कोडेड PowerShell कमांड्स को आपके क्लिपबोर्ड पर कॉपी करते हैं, और ईमेल quoted-printable के रूप में आते हैं। इसे चलाने के बजाय स्ट्रिंग को यहाँ पेस्ट करें।
क्या मैं एक समय में एक परत डिकोड कर सकता हूँ?
हाँ। मैनुअल चरण के बाद अनटिक करें, स्वचालित रूप से छीलना जारी रखें, फिर Decode as के अंतर्गत एक विधि चुनें और प्रत्येक चरण के लिए वर्तमान परिणाम पर Apply दबाएँ।
मैं कितना टेक्स्ट पेस्ट कर सकता हूँ?
5 एमबी तक। 200,000 वर्णों से लंबी परिणाम स्क्रीन पर संक्षिप्त किए जाते हैं, लेकिन कॉपी पूरा पाठ देती है।
कोटेड-प्रिंटेबल और प्रतिशत-एन्कोडिंग क्या हैं?
दोनों एक बाइट को साइन के बाद दो हेक्स अंकों के रूप में लिखते हैं। Quoted-printable ईमेल बॉडी से आता है, जहाँ =3D का अर्थ = होता है। प्रतिशत-एनकोडिंग URLs से आती है, जहाँ %2F का अर्थ / होता है।