Определяйте файл по магическим байтам и находите расширения, которые лгут о настоящем формате.
Новый
Калькулятор хешей файлов
Работает локальноНовый
Сам инструмент доступен на английском языке; на этой странице приведено его описание на вашем языке.
Используйте Калькулятор хешей файлов
Для чего это нужно
Перетащите один или несколько файлов, чтобы получить их MD5, SHA-1 и SHA-256. Хеширование выполняется в вашем браузере; хеш уходит в VirusTotal или MalwareBazaar, только если вы нажмёте ссылку для поиска.
Приложение работает полностью в браузере: никакие введенные вами данные не передаются на сервер.
Как использовать Калькулятор хешей файлов
- Перетащите или выберите файлы. Перетащите один или несколько файлов на поле или выберите их. В очередь ставится до 50 файлов, и они хешируются один за другим.
- Следите за ходом. Для каждого файла появляется карточка с размером и индикатором выполнения. Stop отменяет текущий файл и остаток очереди.
- Скопируйте хеши. На каждой карточке показаны MD5, SHA-1 и SHA-256 с кнопкой Copy. Copy all hashes (копировать все хеши) даёт таблицу по всем файлам с разделением табуляцией.
- Найдите хеш. Нажмите VirusTotal или MalwareBazaar, чтобы найти SHA-256 в новой вкладке, или используйте Send to для IOC Converter или Abuse Report Generator.
- Начните заново. Clear останавливает текущую работу и удаляет все карточки.
Пример
Опубликованное тестовое предложение
The quick brown fox jumps over the lazy dogexample.txt
43 B (43 bytes) · browser type text/plain
Done
MD5
9e107d9d372bb6826bd81d3542a419d6
SHA-1
2fd4e1c67a2d28fced849ee1bb76e7391b93eb12
SHA-256
d7a8fbb307d7809469ca9abcb0082e4f8d5651e46d3cdb762d02d0bf37c9e592
VirusTotal ↗
MalwareBazaar ↗
These links open virustotal.com or bazaar.abuse.ch in a new tab and send only the SHA-256, never the file.Хешируется как файл example.txt размером 43 байта: MD5 9e107d9d372bb6826bd81d3542a419d6, SHA-1 2fd4e1c67a2d28fced849ee1bb76e7391b93eb12 и SHA-256 d7a8fbb307d7809469ca9abcb0082e4f8d5651e46d3cdb762d02d0bf37c9e592 — опубликованные значения для этого предложения.
Что проверяется
| Сигнал | Что это означает |
|---|---|
| SHA-256 | Значение, которое указывают в жалобах и по которому ищут в базах вредоносного ПО. Изменение даже одного байта файла даёт другое значение. |
| MD5 и SHA-1 | Всё ещё используются в старых сервисах поиска и фидах. Они не стойки к коллизиям, поэтому не полагайтесь только на них как на доказательство. |
| Предупреждение о пустом файле | У файла размером 0 байт те же хеши, что и у любого другого пустого файла, поэтому совпадение ничего не доказывает. |
| Файлы больше 500 МБ | Вычисляется только MD5, а ссылка для поиска становится VirusTotal (by MD5). Для MalwareBazaar нужен SHA-256. |
| Примечание о памяти | Если браузер не может выделить память под весь файл, SHA-1 и SHA-256 пропускаются, о чём сообщает примечание. |
| Тип по данным браузера | MIME-тип, который браузер угадывает по имени файла. Содержимое он не проверяет; это делает File Type Sniffer. |
| Copy all hashes | Строка заголовка и по одной строке на файл с именем, числом байт, MD5, SHA-1 и SHA-256 — готово для тикета или таблицы. |
| Ссылки для поиска | Открывают поиск только с хешем. Неизвестный хеш не доказывает безопасность: новых образцов в базах часто ещё нет. |
| Строка размера | Точное число байт. Если оно отличается от размера в отчёте или в журнале почтового шлюза, перед вами другой файл. |
Еще примеры
Пустой файл
A file of 0 bytesMD5 d41d8cd98f00b204e9800998ecf8427e, SHA-1 da39a3ee5e6b4b0d3255bfef95601890afd80709, SHA-256 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 и предупреждение о том, что это хеши нуля байт, общие для всех пустых файлов.
Тестовая строка abc
A 3-byte file containing abc, with no line breakMD5 900150983cd24fb0d6963f7d28e17f72, SHA-1 a9993e364706816aba3e25717850c26c9cd0d89d, SHA-256 ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad — значения, опубликованные в RFC 1321 и FIPS 180.
Очень большой образ диска
A 2 GB .iso fileПоказан только MD5 с примечанием, что SHA-1 и SHA-256 пропущены, потому что файл больше 500 МБ, и единственная ссылка VirusTotal (by MD5).
Часто задаваемые вопросы
Какие хеши вычисляет калькулятор и как?
MD5 вычисляет собственная реализация RFC 1321 на этой странице, пока файл читается частями по 4 МБ; SHA-1 и SHA-256 вычисляет Web Crypto API браузера. Все три охватывают точные байты файла, поэтому совпадают с тем, что для него показывают sha256sum, Get-FileHash или VirusTotal.
Почему для очень больших файлов нет SHA-1 и SHA-256?
Web Crypto умеет хешировать только целый буфер, поэтому странице пришлось бы держать весь файл в памяти; для файлов больше 500 МБ эти хеши пропускаются, чтобы вкладка не упала, и вычисляется только MD5. MD5 и SHA-1 подходят для поиска, но не стойки к коллизиям, поэтому в жалобе на образец указывайте SHA-256.
Загружается ли файл в VirusTotal или MalwareBazaar?
Нет. Файл никогда не покидает ваш браузер. Кнопки VirusTotal и MalwareBazaar — обычные ссылки, которые открывают эти сайты в новой вкладке с хешем в адресе, и ничего не отправляется, пока вы не нажмёте одну из них.
Почему мой хеш отличается от указанного в отчёте?
Любое изменение байтов меняет все хеши: пересохранённая, заново упакованная в архив или сконвертированная копия — это другой файл. Переименование файла его хеш не меняет. Хешируйте полученный оригинал.
Стоит ли самому загружать файл в VirusTotal?
Сначала ищите по хешу. Файлы, загруженные в VirusTotal, становятся доступны его партнёрам по безопасности, поэтому не загружайте документы с личными или корпоративными данными.
Опасно ли хешировать вредоносный файл?
Хеширование только читает байты: файл никогда не открывается, не запускается и не отрисовывается. После этого не открывайте его и удалите, когда он больше не будет нужен как доказательство.
Что передаёт Send to?
SHA-256 каждого хешированного файла, по одному на строку, или MD5, если SHA-256 был пропущен. IOC Converter и Abuse Report Generator принимают такой список.