MD5, SHA-1 și SHA-256 pentru orice fișier, cu linkuri gata pregătite pentru căutări pe VirusTotal și MalwareBazaar.
Nou
Identificator de tipuri de fișiere
Rulează localNou
Instrumentul în sine este în limba engleză; această pagină îl explică în limba ta.
Folosește Identificator de tipuri de fișiere
Ce face
Trageți un fișier pentru a vedea ce este de fapt, pe baza numărului de octeți și nu a numelui său, și dacă numele, extensia sau conținutul încearcă să ascundă acest lucru. Nu se încarcă și nu se deschide nimic.
Aplicația funcționează în întregime în browserul tău: nimic din ce introduci nu este încărcat pe server.
Cum se utilizează Identificator de tipuri de fișiere
- Păstrați fișierul închis. Salvați atașamentul sau descărcați-l fără a-l deschide.
- Trageți sau selectați fișierele. Trageți unul sau mai multe fișiere în casetă sau selectați-le. Se verifică până la 50 de fișiere de fiecare dată, fiecare fiind afișat pe o fișă separată.
- Compară tipul și extensia. Tipul, categoria și extensia detectate apar în partea de sus. Mesajul roșu „nu corespunde” înseamnă că numele nu reflectă conținutul.
- Citiți descrierile și detaliile. Casetele „Pericol” și „Avertisment” oferă explicații cu privire la fiecare deghizare sau caracteristică riscantă. Sub acestea se află octeții de semnătură, intrările din arhivă, cuvintele-cheie din PDF și o reprezentare hexadecimală a primilor octeți.
- Fă următorul pas. Folosiți instrumentul recomandat, cum ar fi File Hash Calculator, pentru a efectua o verificare pe VirusTotal, și încărcați același fișier acolo.
Exemplu
Atașament HTML ascuns
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.Prima linie devine numele fișierului, iar restul reprezintă conținutul acestuia. Programul de monitorizare semnalează un document HTML, identifică extensia dublă .pdf.html și modelul de „contrabandă” HTML (atob, Blob și o descărcare forțată) și redirecționează către HTML Attachment Analyzer.
Ce verifică
| Semnal | Ce înseamnă asta |
|---|---|
| Tipul și extensia detectate | Extensia se potrivește, nu se potrivește, nu este verificată sau lipsește. O nepotrivire este semnul principal al unui fișier camuflat. |
| Cod deghizat în document sau imagine | Atenție: conținutul este un program, o comandă rapidă sau un script, deși numele sugerează că ar fi un fișier inofensiv. În schimb, un script salvat cu extensia .txt generează un avertisment. |
| Extensie dublă | Un nume de genul statement.pdf.exe sau invoice.pdf.html: prima extensie este doar decorativă. |
| Suprascrierea de la dreapta la stânga și caracterele invizibile | Trucuri Unicode care fac ca un nume să afișeze o extensie falsă. Se raportează extensia reală. |
| Conținutul arhivei | Fișierele executabile, scripturile, scurtăturile, fișierele HTML și extensiile duble din interiorul unui fișier ZIP, intrările criptate și căile Zip Slip sunt semnalate fără a se extrage nimic. |
| Macro-uri și obiecte Office | Proiecte VBA, foi de macro-uri Excel 4.0, obiecte OLE încorporate, obiecte din Editorul de ecuații și documente protejate cu parolă. |
| Cuvinte cheie PDF | JavaScript cu acțiune de deschidere automată, /Launch, fișiere încorporate, trimiterea formularelor și nume ofuscate. |
| Comenzi rapide și imagini de disc | Fișierele LNK care execută instrumente de comandă sau care redirecționează către locații la distanță, precum și imaginile ISO, IMG sau VHD utilizate pentru a ocoli avertismentele legate de descărcare. |
| HTML și SVG | Modele de contrabandă, formulare de acreditare publicate în alte locuri și scripturi în interiorul codului de marcare. |
| Fișier ZIP atașat | O precizare pentru cazul în care o arhivă ZIP se află la sfârșitul unui alt fișier: o arhivă auto-extractibilă, un program de instalare sau un fișier poliglot valabil în două formate. |
Alte exemple
Un program conținut într-un fișier ZIP
Statement.zip containing one file, Statement.pdf.exeArhivă ZIP, fișiere de tip .zip. Două semnale de avertizare: conține un fișier executabil, un script sau o comandă rapidă (Statement.pdf.exe), iar numele unei intrări are o extensie dublă. Lista de intrări indică faptul că fișierul „execută cod”.
Un fișier executabil denumit ca o fotografie
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)Fișier executabil DOS / 16 biți (MZ); extensia .jpg nu corespunde. Atenție: fișierul executabil este deghizat sub forma unui fișier .jpg, o denumire care sugerează un fișier inofensiv, în timp ce conținutul său este de fapt cod.
Un fișier PDF care execută cod JavaScript la deschidere
scan.pdf whose /OpenAction points to a /JavaScript actionDocument PDF, cu extensia .pdf. Atenție: conține JavaScript și o acțiune automată care îl poate executa la deschiderea fișierului. Rândul „Cuvinte cheie” conține /JavaScript, /JS și /OpenAction.
Întrebări frecvente
Cum stabilește sniffer-ul ce este un fișier?
Acesta compară primii octeți și offset-uri fixe, precum 0x8001 pentru imaginile ISO sau 257 pentru TAR, cu aproximativ 100 de semnături de format, apoi analizează structurile ZIP, OLE2, PE, LNK, PDF și RTF: componente Office și macro-uri, fluxuri MSI și Outlook, fișiere EXE sau DLL și tipul de procesor, destinațiile scurtăturilor și cuvintele-cheie de acțiune din PDF. Fișierele text sunt clasificate pe baza unor marcatori, cum ar fi linia shebang, etichetele HTML sau sintaxa PowerShell.
Ce ar putea să omită sau să greșească?
Formatele de text sunt recunoscute pe baza unor algoritmi euristici, astfel încât un script scurt poate fi identificat ca text simplu, iar cuvintele-cheie din fișierele PDF aflate în fluxuri de obiecte comprimate nu sunt vizibile pentru acest sistem. Acesta descrie tipul de fișier și tehnicile de camuflare, dar nu scanează în căutarea de malware, așa că un rezultat „curat” nu reprezintă un verdict definitiv.
Fișierul a fost încărcat sau deschis?
Nu. Browserul citește doar intervalele de octeți de care are nevoie din fișierul de pe dispozitivul tău; nimic nu este executat sau redat, iar nimic nu este transmis prin rețea.
De ce poate fi periculos un fișier cu extensia .jpg sau .pdf?
Filtrele de e-mail evaluează adesea un fișier după extensia acestuia. Un program redenumit cu extensia .jpg poate trece neobservat de acestea și are nevoie doar de o redenumire sau de un program de încărcare pentru a rula din nou, iar o pagină HTML denumită .pdf se poate deschide într-un browser ca o pagină falsă de autentificare.
Pot selecta mai multe fișiere simultan?
Da. Puteți adăuga sau selecta până la 50 de fișiere; fiecare primește propria fișă de rezultate, iar opțiunea „Ștergere” le elimină pe toate.
Ce trebuie să fac după ce se semnalează un pericol?
Nu deschideți fișierul. Calculați-i valoarea hash cu ajutorul programului File Hash Calculator, verificați codul SHA-256 pe VirusTotal sau MalwareBazaar și raportați expeditorul furnizorului dvs. de servicii de e-mail.