Identificeer een bestand aan de hand van zijn ‘magic bytes’ en vlag-extensies die een verkeerde indruk geven van het werkelijke formaat.
Nieuw
Bestandshash-calculator
Draait lokaalNieuw
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik Bestandshash-calculator
Wat het doet
Sleep een of meer bestanden naar deze pagina om hun MD5-, SHA-1- en SHA-256-hash te verkrijgen. Het genereren van de hash gebeurt in je browser; alleen de links waarop je klikt, sturen een hash naar VirusTotal of MalwareBazaar.
Het draait volledig in je browser: er wordt niets van wat je invoert geüpload.
Hoe gebruik je Bestandshash-calculator
- Bestanden neerzetten of selecteren. Sleep een of meer bestanden naar het vak of selecteer ze. Er worden maximaal 50 bestanden in de wachtrij geplaatst en achtereenvolgens gehasht.
- Volg de voortgang. Elk bestand krijgt een kaartje met de bestandsgrootte en een voortgangsbalk. Met ‘Stop’ worden het huidige bestand en de rest van de wachtrij geannuleerd.
- Kopieer de hashes. Op elke kaart worden de MD5-, SHA-1- en SHA-256-hashes weergegeven, samen met een knop ‘Kopiëren’. Als je alle hashes kopieert, krijg je een tabel met alle bestanden, gescheiden door tabtekens.
- Zoek de hash op. Klik op VirusTotal of MalwareBazaar om in een nieuw tabblad naar de SHA-256 te zoeken, of gebruik de optie ‘Verzenden naar’ voor de IOC Converter of de Abuse Report Generator.
- Opnieuw beginnen. Met ‘Clear’ worden alle lopende taken gestopt en worden alle kaarten verwijderd.
Voorbeeld
Gepubliceerde testzin
The quick brown fox jumps over the lazy dogexample.txt
43 B (43 bytes) · browser type text/plain
Done
MD5
9e107d9d372bb6826bd81d3542a419d6
SHA-1
2fd4e1c67a2d28fced849ee1bb76e7391b93eb12
SHA-256
d7a8fbb307d7809469ca9abcb0082e4f8d5651e46d3cdb762d02d0bf37c9e592
VirusTotal ↗
MalwareBazaar ↗
These links open virustotal.com or bazaar.abuse.ch in a new tab and send only the SHA-256, never the file.De hash van een bestand van 43 bytes met de naam example.txt: MD5 9e107d9d372bb6826bd81d3542a419d6, SHA-1 2fd4e1c67a2d28fced849ee1bb76e7391b93eb12 en SHA-256 d7a8fbb307d7809469ca9abcb0082e4f8d5651e46d3cdb762d02d0bf37c9e592, de gepubliceerde waarden voor deze zin.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| SHA-256 | De waarde die in rapporten moet worden vermeld en waarmee in malwaredatabases wordt gezocht. Als er ook maar één byte van het bestand wordt gewijzigd, levert dat een andere waarde op. |
| MD5 en SHA-1 | Wordt nog steeds gebruikt door oudere zoekfuncties en feeds. Ze zijn niet botsingsbestendig, dus vertrouw er niet uitsluitend op als bewijs. |
| Waarschuwing voor lege bestanden | Een bestand van 0 bytes heeft dezelfde hashwaarden als elk ander leeg bestand, dus een overeenkomst bewijst niets. |
| Bestanden groter dan 500 MB | Er wordt alleen de MD5-hash berekend, en de link naar de zoekresultaten verwijst naar VirusTotal (op basis van de MD5-hash). MalwareBazaar heeft de SHA-256-hash nodig. |
| Geheugennotitie | Als de browser niet genoeg geheugen kan reserveren voor het hele bestand, worden SHA-1 en SHA-256 overgeslagen en wordt dit in een melding aangegeven. |
| Browsertype | Het MIME-type dat je browser afleidt uit de bestandsnaam. De inhoud wordt niet gecontroleerd; dat doet File Type Sniffer. |
| Alle hashes kopiëren | Een koptekstrij en één regel per bestand met naam, aantal bytes, MD5, SHA-1 en SHA-256, klaar voor gebruik in een ticket of spreadsheet. |
| Zoeklinks | Ze starten de zoekopdracht met alleen de hash. Een onbekende hash is geen bewijs van veiligheid: nieuwe monsters staan vaak nog niet in de lijst. |
| Maatlijn | Het exacte aantal bytes. Als dit afwijkt van de grootte die in een rapport of een logbestand van de e-mailgateway wordt vermeld, heb je het over een ander bestand. |
Nog meer voorbeelden
Een leeg bestand
A file of 0 bytesMD5 d41d8cd98f00b204e9800998ecf8427e, SHA-1 da39a3ee5e6b4b0d3255bfef95601890afd80709, SHA-256 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855, en een waarschuwing dat dit de hashes zijn van nul bytes, die door elk leeg bestand worden gedeeld.
De testreeks abc
A 3-byte file containing abc, with no line breakMD5 900150983cd24fb0d6963f7d28e17f72, SHA-1 a9993e364706816aba3e25717850c26c9cd0d89d, SHA-256 ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad: de waarden die zijn gepubliceerd in RFC 1321 en FIPS 180.
Een zeer groot schijfimage
A 2 GB .iso fileEr wordt alleen de MD5-hash weergegeven, met de opmerking dat SHA-1 en SHA-256 zijn overgeslagen omdat het bestand groter is dan 500 MB, en er is één VirusTotal-link (op basis van de MD5-hash).
Veelgestelde vragen
Welke hashwaarden genereert de rekenmachine, en hoe?
De MD5-waarde is afkomstig van de eigen RFC 1321-implementatie van deze pagina, waarbij het bestand in stukken van 4 MB wordt ingelezen; de SHA-1- en SHA-256-waarden zijn afkomstig van de Web Crypto API van de browser. Alle drie hebben betrekking op de exacte bytes van het bestand, dus ze komen overeen met wat sha256sum, Get-FileHash of VirusTotal erover rapporteren.
Waarom ontbreken SHA-1 en SHA-256 bij zeer grote bestanden?
Web Crypto kan alleen een volledige buffer hashen, dus de pagina zou het hele bestand in het geheugen moeten hebben; bij bestanden groter dan 500 MB worden deze overgeslagen om te voorkomen dat het tabblad crasht, en wordt alleen de MD5-hash berekend. MD5 en SHA-1 zijn prima voor het opzoeken van gegevens, maar niet botsingsbestendig; vermeld daarom de SHA-256-waarde wanneer je een voorbeeld rapporteert.
Is het bestand geüpload naar VirusTotal of MalwareBazaar?
Nee. Het bestand verlaat je browser nooit. De knoppen voor VirusTotal en MalwareBazaar zijn gewone links die deze websites in een nieuw tabblad openen met de hash in de adresbalk, en er wordt niets verzonden totdat je op een van beide klikt.
Waarom wijkt mijn hash af van die in een rapport?
Elke wijziging in de bytes verandert elke hash: een opnieuw opgeslagen, opnieuw gezipte of geconverteerde kopie is een ander bestand. Het hernoemen van een bestand verandert de hash ervan niet. Bereken de hash van het origineel dat je hebt ontvangen.
Moet ik het bestand zelf naar VirusTotal uploaden?
Zoek eerst op hash. Bestanden die naar VirusTotal worden geüpload, worden gedeeld met de beveiligingspartners van VirusTotal. Upload daarom geen documenten die persoonlijke of bedrijfsgegevens bevatten.
Is het riskant om een schadelijk bestand te hashen?
Bij het hashen worden alleen de bytes gelezen: het bestand wordt nooit geopend, uitgevoerd of weergegeven. Houd het daarna gesloten en verwijder het wanneer je het niet langer als bewijsmateriaal nodig hebt.
Wat houdt ‘Verzenden’ precies in?
De SHA-256-hash van elk gehasht bestand, één per regel, of de MD5-hash wanneer SHA-256 is overgeslagen. De IOC Converter en de Abuse Report Generator accepteren die lijst.