MD5, SHA-1, dan SHA-256 file apa pun, dengan tautan pencarian VirusTotal dan MalwareBazaar siap pakai.
Baru
Pendeteksi Tipe File
Berjalan secara lokalBaru
Alat ini sendiri tersedia dalam bahasa Inggris; halaman ini menjelaskannya dalam bahasa Anda.
Gunakan Pendeteksi Tipe File
Fungsinya
Jatuhkan file untuk melihat apa sebenarnya file itu, dinilai dari byte-nya, bukan namanya, dan apakah nama, ekstensi, atau isinya berusaha menyembunyikan hal itu. Tidak ada yang diunggah atau dibuka.
Aplikasi ini sepenuhnya berjalan di browser Anda: tidak ada data yang Anda masukkan yang diunggah.
Cara menggunakan Pendeteksi Tipe File
- Biarkan file tetap tertutup. Simpan lampiran atau unduhan tanpa membukanya.
- Jatuhkan atau pilih file. Jatuhkan satu file atau lebih ke kotak atau pilih file. Hingga 50 file diperiksa per sekali jatuhkan, masing-masing dalam kartunya sendiri.
- Bandingkan tipe dan ekstensi. Detected type, Kind, dan Extension muncul di bagian atas. "does not match" berwarna merah berarti nama file berbohong tentang isinya.
- Baca penanda dan detailnya. Kotak Danger dan Warning menjelaskan setiap penyamaran atau fitur berisiko. Di bawahnya terdapat byte tanda tangan, entri arsip, kata kunci PDF, dan hex dump dari byte pertama.
- Ambil langkah berikutnya. Ikuti alat yang disarankan, seperti File Hash Calculator untuk pencarian di VirusTotal, dan jatuhkan file yang sama di sana.
Contoh
Lampiran HTML smuggling
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.Baris pertama menjadi nama file dan sisanya menjadi isinya. Sniffer melaporkan dokumen HTML, menandai ekstensi ganda .pdf.html dan pola HTML smuggling (atob, Blob, dan unduhan paksa), serta mengarahkan ke HTML Attachment Analyzer.
Apa yang diperiksa
| Sinyal | Apa artinya |
|---|---|
| Tipe terdeteksi dan ekstensi | Ekstensi cocok, tidak cocok, tidak diperiksa, atau tidak ada. Ketidakcocokan adalah tanda utama file yang disamarkan. |
| Kode yang menyamar sebagai dokumen atau gambar | Bahaya: isinya adalah program, shortcut, atau skrip sementara namanya menjanjikan file yang tidak berbahaya. Skrip yang disimpan sebagai .txt mendapat peringatan saja. |
| Ekstensi ganda | Nama seperti statement.pdf.exe atau invoice.pdf.html: ekstensi pertama hanyalah hiasan. |
| Right-to-left override dan karakter tak terlihat | Trik Unicode yang membuat nama menampilkan ekstensi palsu. Ekstensi yang sebenarnya dilaporkan. |
| Isi arsip | File eksekusi, skrip, shortcut, file HTML, dan ekstensi ganda di dalam ZIP, entri terenkripsi, dan path Zip Slip ditandai tanpa mengekstrak apa pun. |
| Makro dan objek Office | Proyek VBA, lembar makro Excel 4.0, objek OLE tersemat, objek Equation Editor, dan dokumen yang dilindungi kata sandi. |
| Kata kunci PDF | JavaScript dengan aksi buka otomatis, /Launch, file tersemat, pengiriman formulir, dan nama yang diobfuskasi. |
| Shortcut dan image disk | File LNK yang menjalankan alat perintah atau mengarah ke lokasi jarak jauh, serta image ISO, IMG, atau VHD yang dipakai untuk menghindari peringatan unduhan. |
| HTML dan SVG | Pola smuggling, formulir kredensial yang mengirim data ke tempat lain, dan skrip di dalam markup. |
| ZIP yang ditambahkan di akhir | Catatan jika arsip ZIP berada di akhir file lain: arsip yang mengekstrak sendiri, installer, atau file poliglot yang valid dalam dua format. |
Contoh lainnya
Program di dalam ZIP
Statement.zip containing one file, Statement.pdf.exeArsip ZIP, .zip cocok. Dua penanda bahaya: berisi 1 file eksekusi, skrip, atau shortcut (Statement.pdf.exe), dan sebuah nama entri memiliki ekstensi ganda. Daftar Entries menandai file itu "runs code".
File eksekusi yang dinamai seperti foto
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)DOS / 16-bit executable (MZ); .jpg tidak cocok. Bahaya: file eksekusi disamarkan sebagai .jpg, nama yang menjanjikan file tidak berbahaya padahal isinya kode.
PDF yang menjalankan JavaScript saat dibuka
scan.pdf whose /OpenAction points to a /JavaScript actionDokumen PDF, .pdf cocok. Bahaya: berisi JavaScript dan aksi otomatis yang dapat menjalankannya saat file dibuka. Baris Keywords mencantumkan /JavaScript, /JS, dan /OpenAction.
Pertanyaan yang Sering Diajukan
Bagaimana sniffer menentukan jenis sebuah file?
Sniffer membandingkan byte pertama, dan offset tetap seperti 0x8001 untuk image ISO atau 257 untuk TAR, dengan sekitar 100 tanda tangan format, lalu melihat ke dalam struktur ZIP, OLE2, PE, LNK, PDF, dan RTF: bagian dan makro Office, stream MSI dan Outlook, EXE atau DLL dan jenis CPU, target shortcut, serta kata kunci aksi PDF. File teks diklasifikasikan berdasarkan penanda seperti baris shebang, tag HTML, atau sintaks PowerShell.
Apa yang bisa terlewat atau salah dikenali?
Format teks dikenali dengan heuristik, sehingga skrip pendek bisa dilaporkan sebagai teks biasa, dan kata kunci PDF di dalam object stream yang dikompresi tidak terlihat olehnya. Sniffer menjelaskan tipe file dan trik penyamaran tetapi tidak memindai malware, sehingga hasil yang bersih bukanlah putusan.
Apakah file diunggah atau dibuka?
Tidak. Browser hanya membaca rentang byte yang diperlukan dari file di perangkat Anda, tidak ada yang dijalankan atau dirender, dan tidak ada yang dikirim melalui jaringan.
Mengapa file bernama .jpg atau .pdf bisa berbahaya?
Filter email sering menilai file dari ekstensinya. Program yang diganti namanya menjadi .jpg dapat lolos dan hanya perlu diganti nama atau dijalankan oleh loader agar dapat berjalan lagi, dan halaman HTML yang dinamai .pdf dapat terbuka di browser sebagai halaman login palsu.
Bisakah saya memeriksa beberapa file sekaligus?
Bisa. Jatuhkan atau pilih hingga 50 file; masing-masing mendapat kartu hasilnya sendiri, dan Clear menghapus semuanya.
Apa yang harus saya lakukan setelah muncul penanda bahaya?
Jangan membuka file tersebut. Buat hash-nya dengan File Hash Calculator, cari SHA-256-nya di VirusTotal atau MalwareBazaar, dan laporkan pengirimnya ke penyedia email Anda.