JA
ENARDEESFAFRHEHIIDITJAKONLPLPT-BRRORUTHTLTRUKVIZH

ファイル・ページ

ファイル形式判定

ローカルで動作新着

ツール自体は英語ですが、このページではお客様の言語でその使い方を説明しています。

ファイル形式判定 を使用してください

機能の説明

ファイルをドロップすると、名前ではなくバイト列から判断した本当の正体と、名前、拡張子、内容がそれを隠そうとしているかどうかがわかります。何もアップロードされず、開かれることもありません。

すべてブラウザ上で動作します。入力した内容は一切アップロードされません。

ファイル形式判定 の使い方

  1. ファイルは開かずにおく. 添付ファイルやダウンロードしたファイルを、開かずに保存します。
  2. ファイルをドロップまたは選択する. 1つ以上のファイルを枠にドロップするか選択します。1回のドロップで最大50ファイルが確認され、それぞれにカードが作られます。
  3. 種類と拡張子を比べる. 上部にDetected type、Kind、Extensionが表示されます。赤の「does not match」は、名前が内容を偽っていることを意味します。
  4. フラグと詳細を読む. DangerとWarningの枠で、各偽装や危険な機能が説明されます。その下には、シグネチャのバイト列、アーカイブのエントリー、PDFキーワード、先頭バイトの16進ダンプが表示されます。
  5. 次の手順に進む. VirusTotalで検索するためのFile Hash Calculatorなど、提案されたツールに進み、同じファイルをそこにドロップします。

例

HTMLスマグリングの添付ファイル

入力
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>
出力（2026-10-20に記録）
Invoice_0425.pdf.html

254 B (254 bytes) · read 254 B

DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches

.html fits HTML document.

Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000  3C 68 74 6D 6C 3E 3C 62  6F 64 79 3E 3C 73 63 72  <html><body><scr
0010  69 70 74 3E 0A 76 61 72  20 64 61 74 61 20 3D 20  ipt>.var data =
0020  61 74 6F 62 28 27 55 45  73 44 42 42 51 41 41 41  atob('UEsDBBQAAA
0030  41 49 41 41 3D 3D 27 29  3B 0A 76 61 72 20 62 6C  AIAA==');.var bl
Copy hex dump

Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.

1行目がファイル名、残りが内容になります。スニファーはHTML文書と判定し、.pdf.htmlの二重拡張子と、HTMLスマグリングのパターン（atob、Blob、強制ダウンロード）を警告して、HTML Attachment Analyzerを案内します。

チェック対象

シグナルその意味
検出された種類と拡張子拡張子がmatches（一致）、does not match（不一致）、not checked（未確認）、missing（なし）のいずれかで示されます。不一致は偽装ファイルの中心的な兆候です。
文書や画像を装ったコードDangerです。名前は無害なファイルを装っているのに、内容はプログラム、ショートカット、スクリプトです。.txtとして保存されたスクリプトの場合は、代わりに警告になります。
二重拡張子statement.pdf.exeやinvoice.pdf.htmlのような名前で、最初の拡張子は見せかけです。
右から左への上書き（RLO）と不可視文字名前に偽の拡張子を表示させるUnicodeの手口です。本当の拡張子が報告されます。
アーカイブの内容ZIP内の実行ファイル、スクリプト、ショートカット、HTMLファイル、二重拡張子、暗号化されたエントリー、Zip Slipのパスが、何も展開せずに警告されます。
OfficeのマクロとオブジェクトVBAプロジェクト、Excel 4.0マクロシート、埋め込みOLEオブジェクト、数式エディターのオブジェクト、パスワードで保護された文書です。
PDFキーワード自動で開くアクションを伴うJavaScript、/Launch、埋め込みファイル、フォーム送信、難読化された名前です。
ショートカットとディスクイメージコマンドツールを実行したりリモートの場所を指したりするLNKファイルと、ダウンロード時の警告を回避するために使われるISO、IMG、VHDイメージです。
HTMLとSVGスマグリングのパターン、別の場所に送信する認証情報入力フォーム、マークアップ内のスクリプトです。
末尾に付加されたZIPZIPアーカイブが別のファイルの末尾にある場合の注記です。自己解凍アーカイブ、インストーラー、または2つの形式で有効なポリグロットファイルの可能性があります。

その他の例

ZIP内のプログラム

入力
Statement.zip containing one file, Statement.pdf.exe
結果

ZIP archive、.zipは一致します。Dangerのフラグが2つ付きます。実行ファイル、スクリプト、ショートカットのファイルが1つ含まれていること（Statement.pdf.exe）と、エントリー名に二重拡張子があることです。Entriesの一覧では、そのファイルに「runs code」の印が付きます。

写真の名前が付いた実行ファイル

入力
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)
結果

DOS / 16-bit executable (MZ)で、.jpgは一致しません。Danger：実行ファイルが.jpgに偽装されています。名前は無害なファイルを装っていますが、内容はコードです。

開くとJavaScriptを実行するPDF

入力
scan.pdf whose /OpenAction points to a /JavaScript action
結果

PDF document、.pdfは一致します。Danger：JavaScriptと、ファイルを開いたときにそれを実行できる自動アクションが含まれています。Keywordsの行には/JavaScript、/JS、/OpenActionが表示されます。

よくある質問

スニファーはどのようにファイルの種類を判断しますか？

先頭のバイトや、ISOイメージの0x8001、TARの257といった固定オフセットを約100種類の形式シグネチャと比較し、さらにZIP、OLE2、PE、LNK、PDF、RTFの構造の内部を調べます。Officeのパーツとマクロ、MSIとOutlookのストリーム、EXEかDLLかとCPUの種類、ショートカットのリンク先、PDFのアクション用キーワードなどです。テキストファイルは、シバン行、HTMLタグ、PowerShellの構文などの目印で分類されます。

見逃したり誤判定したりすることはありますか？

テキスト形式はヒューリスティックで認識するため、短いスクリプトがプレーンテキストと判定されることがあり、圧縮されたオブジェクトストリーム内のPDFキーワードは見えません。ファイルの種類と偽装の手口を示すものであり、マルウェアのスキャンは行わないため、問題がないという結果は判定ではありません。

ファイルはアップロードされたり開かれたりしますか？

いいえ。ブラウザはデバイス上のファイルから必要なバイト範囲だけを読み取ります。何も実行・レンダリングされず、ネットワーク上には何も送信されません。

.jpgや.pdfという名前のファイルが危険なことがあるのはなぜですか？

メールフィルターは拡張子でファイルを判断することがよくあります。.jpgに名前を変えたプログラムはフィルターをすり抜けることがあり、名前を戻すかローダーを使えば再び実行できます。また、.pdfという名前のHTMLページは、ブラウザで偽のログインページとして開くことがあります。

複数のファイルをまとめて確認できますか？

はい。最大50ファイルをドロップまたは選択できます。それぞれに結果カードが作られ、Clearですべて削除できます。

Dangerのフラグが出たらどうすればよいですか？

ファイルは開かないでください。File Hash Calculatorでハッシュ化し、SHA-256をVirusTotalやMalwareBazaarで検索して、送信者をメールプロバイダーに報告してください。

用語解説

PhishDestroyの調査

  • ファイルハッシュ計算

    あらゆるファイルのMD5、SHA-1、SHA-256を求め、VirusTotalとMalwareBazaarの検索リンクを用意します。

    新着

  • HTML添付ファイル解析

    HTMLやSVGの添付ファイルから、隠れたペイロード、atob/evalの連鎖、外部へ送信するフォームを調べます。

    新着

  • EMLアナライザー

    .emlファイルを解析し、ヘッダー、Receivedチェーン、リンク、添付ファイルのハッシュ、送信者の不一致を表示します。

    新着

  • 多層デコーダー

    Base64、16進数、URLエンコード、gzip、deflateの層を、読めるテキストになるまではがします。

    新着

  • X.509証明書デコーダー

    PEM証明書をデコードし、サブジェクト、SANの一覧、発行者、有効期間、フィンガープリントを表示します。

    新着

  • Faviconハッシュ（mmh3）

    サイトのfaviconのmmh3ハッシュを計算し、Shodan、FOFA、ZoomEye、Censys用のクエリを作成します。

    新着

161個のツールをすべて閲覧する