Wartości MD5, SHA-1 i SHA-256 dowolnego pliku wraz z gotowymi linkami do wyszukiwania w serwisach VirusTotal i MalwareBazaar.
Nowe
Narzędzie do rozpoznawania typów plików
Działa lokalnieNowe
Samo narzędzie jest w języku angielskim; na tej stronie znajdziesz wyjaśnienia w Twoim języku.
Użyj Narzędzie do rozpoznawania typów plików
Jak to działa
Przeciągnij plik, aby sprawdzić, czym naprawdę jest – na podstawie liczby bajtów, a nie nazwy – oraz czy nazwa, rozszerzenie lub zawartość próbują to ukryć. Nic nie jest przesyłane ani otwierane.
Działa całkowicie w przeglądarce: żadne wprowadzone dane nie są przesyłane.
Jak korzystać z Narzędzie do rozpoznawania typów plików
- Nie otwieraj tego pliku. Zapisz załącznik lub pobierz go bez otwierania.
- Przeciągnij lub wybierz pliki. Przeciągnij jeden lub więcej plików na pole lub wybierz je. Przy każdym przeciągnięciu sprawdzanych jest maksymalnie 50 plików, z których każdy znajduje się na osobnej karcie.
- Porównaj typ i rozszerzenie. W górnej części wyświetlane są: wykryty typ, rodzaj i rozszerzenie. Czerwony napis „nie pasuje” oznacza, że nazwa nie odpowiada zawartości.
- Zapoznaj się z opisami i szczegółami. Ramki „Niebezpieczeństwo” i „Ostrzeżenie” zawierają objaśnienia dotyczące poszczególnych masek lub niebezpiecznych funkcji. Poniżej nich znajdują się bajty podpisu, wpisy archiwalne, słowa kluczowe w formacie PDF oraz zrzut szesnastkowy pierwszych bajtów.
- Zrób kolejny krok. Skorzystaj z polecanego narzędzia, np. File Hash Calculator, aby sprawdzić plik w serwisie VirusTotal, i prześlij tam ten sam plik.
Przykład
Przekazywanie załączników w kodzie HTML
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.Pierwszy wiersz stanowi nazwę pliku, a pozostała część – jego treść. Narzędzie sniffer wykrywa dokument HTML, sygnalizuje podwójne rozszerzenie .pdf.html oraz wzorzec „przemytu” kodu HTML (atob, Blob i wymuszone pobieranie) oraz kieruje użytkownika do narzędzia HTML Attachment Analyzer.
Co jest sprawdzane
| Sygnał | Co to oznacza |
|---|---|
| Wykryty typ i rozszerzenie | Rozszerzenie jest zgodne, nie jest zgodne, nie zostało sprawdzone lub go brakuje. Niezgodność rozszerzenia jest podstawową cechą charakterystyczną pliku podszywającego się pod inny. |
| Kod ukryty w dokumencie lub obrazie | Uwaga: treść stanowi program, skrót lub skrypt, podczas gdy nazwa sugeruje, że jest to nieszkodliwy plik. W przypadku skryptu zapisanego z rozszerzeniem .txt wyświetla się natomiast ostrzeżenie. |
| Podwójne przedłużenie | Nazwa typu statement.pdf.exe lub invoice.pdf.html: pierwsze rozszerzenie pełni funkcję dekoracyjną. |
| Zastąpienie kierunku pisania z prawej do lewej i znaki niewidoczne | Sztuczki związane z Unicode, dzięki którym nazwa pliku wyświetla fałszywe rozszerzenie. Prawdziwe rozszerzenie jest jednak zgłaszane. |
| Zawartość archiwum | Pliki wykonywalne, skrypty, skróty, pliki HTML oraz pliki z podwójnymi rozszerzeniami w archiwum ZIP, zaszyfrowane elementy oraz ścieżki Zip Slip są oznaczane bez rozpakowywania zawartości. |
| Makra i obiekty w programie Office | Projekty VBA, arkusze makr programu Excel 4.0, osadzone obiekty OLE, obiekty Edytora równań oraz dokumenty chronione hasłem. |
| Słowa kluczowe w pliku PDF | JavaScript z automatycznym uruchamianiem, /Launch, osadzonymi plikami, przesyłaniem formularzy i zaszyfrowanymi nazwami. |
| Skróty i obrazy dysków | Pliki LNK, które uruchamiają narzędzia poleceń lub odsyłają do zdalnych lokalizacji, a także obrazy ISO, IMG lub VHD wykorzystywane do omijania ostrzeżeń dotyczących pobierania. |
| HTML i SVG | Schematy przemytu, formularze uwierzytelniające publikowane w innych miejscach oraz skrypty umieszczone w kodzie znacznikowym. |
| Załączony plik ZIP | Uwaga dotycząca sytuacji, gdy archiwum ZIP znajduje się na końcu innego pliku: archiwum samorozpakowujące się, instalator lub plik wielojęzyczny, który jest poprawny w dwóch formatach. |
Więcej przykładów
Program zawarty w pliku ZIP
Statement.zip containing one file, Statement.pdf.exeArchiwum ZIP, rozszerzenie .zip. Dwa sygnały ostrzegawcze: zawiera 1 plik wykonywalny, skrypt lub skrót (Statement.pdf.exe), a nazwa jednego z wpisów ma podwójne rozszerzenie. Na liście wpisów plik ten jest oznaczony jako „uruchamia kod”.
Plik wykonywalny o nazwie zgodnej z nazwą zdjęcia
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)Plik wykonywalny dla systemu DOS / 16-bitowy (MZ); rozszerzenie .jpg nie pasuje. Niebezpieczeństwo: plik wykonywalny jest zamaskowany jako plik .jpg – nazwa ta sugeruje, że jest to nieszkodliwy plik, podczas gdy w rzeczywistości zawiera kod.
Plik PDF, w którym skrypty JavaScript uruchamiają się po otwarciu
scan.pdf whose /OpenAction points to a /JavaScript actionDokument PDF, pasują pliki z rozszerzeniem .pdf. Uwaga: zawiera kod JavaScript oraz automatyczną akcję, która może go uruchomić po otwarciu pliku. W wierszu „Słowa kluczowe” wymieniono /JavaScript, /JS oraz /OpenAction.
Najczęściej zadawane pytania
W jaki sposób sniffer określa, czym jest dany plik?
Porównuje pierwsze bajty oraz stałe przesunięcia, takie jak 0x8001 dla obrazów ISO lub 257 dla plików TAR, z około 100 sygnaturami formatów, a następnie analizuje zawartość struktur ZIP, OLE2, PE, LNK, PDF i RTF: elementy pakietu Office i makra, strumienie MSI i Outlooka, pliki EXE lub DLL oraz typ procesora, cele skrótów i słowa kluczowe akcji w plikach PDF. Pliki tekstowe są klasyfikowane na podstawie znaczników, takich jak wiersz shebang, tagi HTML lub składnia PowerShell.
Czego może w tym zabraknąć lub co może być w tym błędne?
Formaty tekstowe są rozpoznawane na podstawie algorytmów heurystycznych, więc krótki skrypt może zostać zidentyfikowany jako zwykły tekst, a słowa kluczowe plików PDF zawarte w skompresowanych strumieniach obiektów nie są dla niego widoczne. Narzędzie opisuje typ pliku i sposoby maskowania, ale nie skanuje w poszukiwaniu złośliwego oprogramowania, więc wynik „czysty” nie stanowi ostatecznej oceny.
Czy plik został przesłany, czy otwarty?
Nie. Przeglądarka odczytuje z pliku na Twoim urządzeniu wyłącznie te zakresy bajtów, których potrzebuje; nic nie jest wykonywane ani renderowane, a żadne dane nie są przesyłane przez sieć.
Dlaczego plik o rozszerzeniu .jpg lub .pdf może stanowić zagrożenie?
Filtry pocztowe często oceniają plik na podstawie jego rozszerzenia. Program, którego nazwę zmieniono na .jpg, może ominąć te filtry i wystarczy go tylko ponownie nazwać lub uruchomić za pomocą programu ładującego, aby znów działał, a strona HTML o nazwie .pdf może otworzyć się w przeglądarce jako fałszywa strona logowania.
Czy mogę zaznaczyć kilka plików naraz?
Tak. Możesz upuścić lub wybrać maksymalnie 50 plików; każdy z nich otrzyma własną kartę wyników, a opcja „Wyczyść” usunie je wszystkie.
Co należy zrobić po pojawieniu się sygnału ostrzegawczego?
Nie otwieraj tego pliku. Oblicz jego skrót za pomocą programu File Hash Calculator, sprawdź skrót SHA-256 w serwisach VirusTotal lub MalwareBazaar, a następnie zgłoś nadawcę do swojego dostawcy poczty elektronicznej.