MD5, SHA-1 at SHA-256 ng anumang file, na may handang mga link para sa paghahanap sa VirusTotal at MalwareBazaar.
Bago
Tagahula ng Uri ng File
Tumatakbo nang lokalBago
Ang kasangkapan mismo ay nasa Ingles; ipinaliwanag ito ng pahinang ito sa iyong wika.
Gamitin angTagahula ng Uri ng File
Ano ang ginagawa nito
I-drop ang isang file para makita kung ano talaga ito, huhusgahan batay sa mga byte nito kaysa sa pangalan nito, at kung sinusubukan ng pangalan, extension, o nilalaman na itago iyon. Wala namang ini-upload o binubuksan.
Ganap itong tumatakbo sa iyong browser: walang anumang ipinasok mo ang ina-upload.
Paano gamitin ang Tagahula ng Uri ng File
- Panatilihing nakasara ang file.. I-save ang kalakip o i-download nang hindi binubuksan.
- Ibagsak o piliin ang mga file. I-drop ang isa o higit pang mga file sa kahon o piliin ang mga ito. Hanggang 50 file ang sinusuri kada pag-drop, bawat isa ay nasa sarili nitong card.
- Ihambing ang uri at extension. Ang natukoy na uri, klase, at extension ay lumalabas sa itaas. Ang pulang "hindi tumutugma" ay nangangahulugang nagsisinungaling ang pangalan tungkol sa nilalaman.
- Basahin ang mga bandila at detalye. Ipinapaliwanag ng mga kahon ng Panganib at Babala ang bawat pagbabalatkayo o mapanganib na katangian. Sa ilalim nito ay ang mga natatanging byte, mga talaan ng archive, mga keyword ng PDF, at isang hex dump ng mga unang byte.
- Gawin ang susunod na hakbang. Sundin ang mungkahing kasangkapan, gaya ng File Hash Calculator para sa VirusTotal lookup, at i-drop doon ang parehong file.
Halimbawa
Kalakip na pagpuslit ng HTML
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.Ang unang linya ang nagiging pangalan ng file at ang natitira ang nilalaman nito. Iniulat ng sniffer ang isang HTML na dokumento, tinutukoy ang dobleng extension na .pdf.html at ang pattern ng pag-smuggling ng HTML (atob, Blob at sapilitang pag-download), at itinuturo sa HTML Attachment Analyzer.
Ano ang sinusuri nito
| Sinyales | Ano ang ibig sabihin nito |
|---|---|
| Natukoy na uri at extension | Ang extension ay tumutugma, hindi tumutugma, hindi nasuri o nawawala. Ang hindi pagtutugma ang pangunahing palatandaan ng isang nakatagong file. |
| Kodigo na nakabalatkayo bilang dokumento o larawan | Panganib: ang nilalaman ay isang programa, shortcut, o script habang ang pangalan ay nangangako ng isang hindi nakakasakit na file. Ang isang script na nai-save bilang .txt ay makakakuha ng babala sa halip. |
| dobleng pagpapalawig | Isang pangungusap na parang pangalan: statement.pdf.exe o invoice.pdf.html: ang unang extension ay pampalamuti lamang. |
| Pag-o-override mula kanan papuntang kaliwa at mga hindi nakikitang karakter | Mga trik ng Unicode na nagpapakita ng pekeng extension sa pangalan. Ang tunay na extension ay naiulat. |
| Mga nilalaman ng arkibo | Ang mga executable, script, shortcut, HTML file at dobleng extension sa loob ng ZIP, mga naka-encrypt na entry at mga Zip Slip path ay minarkahan nang hindi kinakailangang i-extract. |
| Mga macro at mga bagay sa opisina | Mga proyektong VBA, mga Excel 4.0 macro sheet, mga naka-embed na OLE object, mga object ng Equation Editor, at mga dokumentong protektado ng password. |
| Mga keyword ng PDF | JavaScript na may awtomatikong pagbubukas na aksyon, /Launch, naka-embed na mga file, pagsusumite ng form, at mga nakalilitong pangalan. |
| Mga shortcut at mga imahe ng disk | Mga LNK file na nagpapatakbo ng mga command tool o tumuturo sa mga remote na lokasyon, at mga ISO, IMG o VHD image na ginagamit upang makaiwas sa mga babala sa pag-download. |
| HTML at SVG | Mga pattern ng pagpuslit, mga form ng kredensyal na nai-post sa ibang lugar, at mga script sa loob ng markup. |
| Kalakip na ZIP | Isang tala kapag ang isang ZIP archive ay nakalakip sa dulo ng isa pang file: isang self-extracting archive, isang installer, o isang polyglot na file na balido sa dalawang format. |
Karagdagang mga halimbawa
Isang programa sa loob ng ZIP
Statement.zip containing one file, Statement.pdf.exeZIP archive, .zip na tugma. Dalawang bandila ng panganib: naglalaman ito ng isang executable, script, o shortcut file (Statement.pdf.exe), at ang pangalan ng isang entry ay may dobleng extension. Ipinapakita ng listahan ng mga entry na "nagpapatakbo ng code" ang file.
Isang executable na pinangalanang larawan
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)DOS / 16-bit na executable (MZ); hindi tumutugma ang .jpg. Panganib: ang executable ay nagkukunwaring .jpg, isang pangalang nangangako ng isang hindi nakakasakit na file habang ang nilalaman ay code.
Isang PDF na nagpapatakbo ng JavaScript kapag binuksan
scan.pdf whose /OpenAction points to a /JavaScript actionPDF na dokumento, .pdf na mga tugma. Panganib: naglalaman ito ng JavaScript at isang awtomatikong aksyon na maaaring patakbuhin kapag binuksan ang file. Ang hanay ng Mga Keyword ay naglista ng /JavaScript, /JS at /OpenAction.
Madalas na tanong
Paano nagpapasya ang sniffer kung ano ang isang file?
Ikinukumpara nito ang mga unang byte at mga nakapirming offset gaya ng 0x8001 para sa mga ISO image o 257 para sa TAR, sa humigit-kumulang 100 format signature, pagkatapos ay tinitingnan ang loob ng mga istruktura ng ZIP, OLE2, PE, LNK, PDF at RTF: Mga bahagi ng Office at mga macro, mga stream ng MSI at Outlook, uri ng EXE o DLL at CPU, mga target ng shortcut at mga keyword ng aksyon sa PDF. Ang mga text file ay inuuri batay sa mga tagapagpahiwatig tulad ng shebang line, mga tag ng HTML o sintaks ng PowerShell.
Ano ang maaaring hindi nito mapansin o magkamali nito?
Kinikilala ang mga format ng teksto gamit ang heuristics, kaya ang isang maikling script ay maaaring iulat bilang plain text, at hindi nakikita ang mga PDF keyword sa loob ng mga compressed object stream. Inilalarawan nito ang uri ng file at mga diskarte sa pagbabalatkayo, ngunit hindi ito nagsusuri para sa malware, kaya ang malinis na resulta ay hindi pa hatol.
Na-upload na ba ang file o binuksan na ba ito?
Hindi. Binabasa lamang ng browser ang mga saklaw ng byte na kailangan nito mula sa file sa iyong aparato, walang anumang nae-execute o nirere-render, at walang anumang ipinapadala sa network.
Bakit maaaring maging mapanganib ang isang file na may pangalang .jpg o .pdf?
Madalas hinuhusgahan ng mga filter sa email ang isang file batay sa extension nito. Maaaring makalusot dito ang isang programang pinangalanang .jpg at kailangan lamang itong pangalanan muli o magkaroon ng loader para muling mapagana, at ang isang pahinang HTML na pinangalanang .pdf ay maaaring magbukas sa browser bilang pekeng pahina ng pag-login.
Maaari ko bang i-check nang sabay-sabay ang ilang mga file?
Oo. Mag-drop o pumili ng hanggang 50 file; bawat isa ay magkakaroon ng sarili nitong card ng resulta, at ang Clear ay tatanggalin silang lahat.
Ano ang dapat kong gawin pagkatapos ng isang babalang tanda?
Huwag buksan ang file. I-hash ito gamit ang File Hash Calculator, hanapin ang SHA-256 sa VirusTotal o MalwareBazaar, at iulat ang nagpadala sa iyong tagapagbigay ng serbisyo sa email.