Identifique um arquivo pelos magic bytes e sinalize extensões que mentem sobre o formato real.
Nova
Calculadora de hash de arquivo
Execução localNova
A ferramenta em si está em inglês; esta página explica como usá-la no seu idioma.
Use Calculadora de hash de arquivo
O que ele faz
Solte um ou mais arquivos para obter o MD5, o SHA-1 e o SHA-256 deles. O cálculo acontece no seu navegador; só os links de consulta em que você clica enviam um hash ao VirusTotal ou ao MalwareBazaar.
Ele funciona inteiramente no seu navegador: nada do que você digitar é enviado.
Como usar Calculadora de hash de arquivo
- Solte ou escolha arquivos. Solte um ou mais arquivos na caixa ou escolha-os. Até 50 arquivos entram na fila e são processados um depois do outro.
- Acompanhe o progresso. Cada arquivo recebe um cartão com o tamanho e uma barra de progresso. Stop cancela o arquivo atual e o restante da fila.
- Copie os hashes. Cada cartão mostra MD5, SHA-1 e SHA-256 com um botão Copy. Copy all hashes gera uma tabela separada por tabulações com todos os arquivos.
- Consulte o hash. Clique em VirusTotal ou MalwareBazaar para pesquisar o SHA-256 em uma nova aba, ou use Send to para o IOC Converter ou o Abuse Report Generator.
- Recomece. Clear interrompe qualquer tarefa em andamento e remove todos os cartões.
Exemplo
Frase de teste publicada
The quick brown fox jumps over the lazy dogexample.txt
43 B (43 bytes) · browser type text/plain
Done
MD5
9e107d9d372bb6826bd81d3542a419d6
SHA-1
2fd4e1c67a2d28fced849ee1bb76e7391b93eb12
SHA-256
d7a8fbb307d7809469ca9abcb0082e4f8d5651e46d3cdb762d02d0bf37c9e592
VirusTotal ↗
MalwareBazaar ↗
These links open virustotal.com or bazaar.abuse.ch in a new tab and send only the SHA-256, never the file.Processada como um arquivo de 43 bytes chamado example.txt: MD5 9e107d9d372bb6826bd81d3542a419d6, SHA-1 2fd4e1c67a2d28fced849ee1bb76e7391b93eb12 e SHA-256 d7a8fbb307d7809469ca9abcb0082e4f8d5651e46d3cdb762d02d0bf37c9e592, os valores publicados para essa frase.
O que ele verifica
| Sinal | O que isso significa |
|---|---|
| SHA-256 | O valor a citar em denúncias e a pesquisar em bancos de dados de malware. Mudar um único byte do arquivo gera outro valor. |
| MD5 e SHA-1 | Ainda usados por consultas e feeds mais antigos. Eles não são resistentes a colisões, então não confie apenas neles como prova. |
| Aviso de arquivo vazio | Um arquivo de 0 bytes tem os mesmos hashes que qualquer outro arquivo vazio, então uma correspondência não prova nada. |
| Arquivos acima de 500 MB | Só o MD5 é calculado, e o link de consulta passa a ser VirusTotal (by MD5). O MalwareBazaar precisa do SHA-256. |
| Nota de memória | Se o navegador não consegue reservar memória para o arquivo inteiro, o SHA-1 e o SHA-256 são pulados e uma nota informa isso. |
| Tipo do navegador | O tipo MIME que o seu navegador deduz pelo nome do arquivo. Ele não verifica o conteúdo; o File Type Sniffer verifica. |
| Copy all hashes | Uma linha de cabeçalho e uma linha por arquivo, com nome, bytes, MD5, SHA-1 e SHA-256, pronta para um ticket ou uma planilha. |
| Links de consulta | Abrem a pesquisa só com o hash. Um hash desconhecido não prova que o arquivo é seguro: amostras novas muitas vezes ainda não estão listadas. |
| Linha de tamanho | A contagem exata de bytes. Se ela for diferente do tamanho em uma denúncia ou no log de um gateway de e-mail, você está olhando para outro arquivo. |
Mais exemplos
Um arquivo vazio
A file of 0 bytesMD5 d41d8cd98f00b204e9800998ecf8427e, SHA-1 da39a3ee5e6b4b0d3255bfef95601890afd80709, SHA-256 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 e um aviso de que esses são os hashes de zero bytes, compartilhados por todo arquivo vazio.
A string de teste abc
A 3-byte file containing abc, with no line breakMD5 900150983cd24fb0d6963f7d28e17f72, SHA-1 a9993e364706816aba3e25717850c26c9cd0d89d, SHA-256 ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad: os valores publicados na RFC 1321 e na FIPS 180.
Uma imagem de disco muito grande
A 2 GB .iso fileSó o MD5 é exibido, com a nota de que o SHA-1 e o SHA-256 foram pulados porque o arquivo tem mais de 500 MB, e um único link VirusTotal (by MD5).
Perguntas frequentes
Quais hashes a calculadora gera, e como?
O MD5 vem da implementação própria desta página da RFC 1321, enquanto o arquivo é lido em fatias de 4 MB; o SHA-1 e o SHA-256 vêm da Web Crypto API do navegador. Os três cobrem os bytes exatos do arquivo, então coincidem com o que sha256sum, Get-FileHash ou VirusTotal informam para ele.
Por que o SHA-1 e o SHA-256 faltam em arquivos muito grandes?
A Web Crypto só consegue calcular o hash de um buffer completo, então a página teria de manter o arquivo inteiro na memória; acima de 500 MB, ela os pula para evitar que a aba trave e calcula só o MD5. MD5 e SHA-1 servem para consultas, mas não são resistentes a colisões, então cite o SHA-256 ao denunciar uma amostra.
O arquivo é enviado ao VirusTotal ou ao MalwareBazaar?
Não. O arquivo nunca sai do seu navegador. Os botões VirusTotal e MalwareBazaar são links comuns que abrem esses sites em uma nova aba com o hash no endereço, e nada é enviado até você clicar em um deles.
Por que o meu hash é diferente do que está em uma denúncia?
Qualquer mudança nos bytes muda todos os hashes: uma cópia salva de novo, recompactada ou convertida é outro arquivo. Renomear um arquivo não muda o hash. Calcule o hash do original que você recebeu.
Devo enviar o arquivo ao VirusTotal eu mesmo?
Pesquise primeiro pelo hash. Arquivos enviados ao VirusTotal são compartilhados com os parceiros de segurança dele, então não envie documentos que contenham dados pessoais ou da empresa.
É arriscado calcular o hash de um arquivo malicioso?
O cálculo do hash só lê os bytes: o arquivo nunca é aberto, executado nem renderizado. Mantenha-o fechado depois e apague-o quando não precisar mais dele como evidência.
O que Send to repassa?
O SHA-256 de cada arquivo processado, um por linha, ou o MD5 quando o SHA-256 foi pulado. O IOC Converter e o Abuse Report Generator aceitam essa lista.