Herhangi bir dosyanın MD5, SHA-1 ve SHA-256 değeri; hazır VirusTotal ve MalwareBazaar arama bağlantılarıyla.
Yeni
Dosya Türü Algılayıcı
Yerelde çalışırYeni
Araç İngilizce dilindedir; bu sayfada ise araç, sizin dilinizde açıklanmaktadır.
Dosya Türü Algılayıcı'i kullanın
Ne işe yarar?
Bir dosyanın gerçekte ne olduğunu, adına göre değil baytlarına göre görmek ve adının, uzantısının veya içeriğinin bunu gizlemeye çalışıp çalışmadığını öğrenmek için dosyayı bırakın. Hiçbir şey yüklenmez veya açılmaz.
Tamamen tarayıcınızda çalışır: girdiğiniz hiçbir bilgi yukarıya yüklenmez.
Dosya Türü Algılayıcı nasıl kullanılır?
- Dosyayı kapalı tutun. Eki veya indirdiğiniz dosyayı açmadan kaydedin.
- Dosyaları bırakın veya seçin. Bir veya daha fazla dosyayı kutuya bırakın ya da seçin. Her bırakmada en fazla 50 dosya kontrol edilir; her biri kendi kartında.
- Türü ve uzantıyı karşılaştırın. Detected type, Kind ve Extension en üstte görünür. Kırmızı "does not match", adın içerik hakkında yalan söylediği anlamına gelir.
- İşaretleri ve ayrıntıları okuyun. Danger ve Warning kutuları her gizlemeyi veya riskli özelliği açıklar. Altlarında imza baytları, arşiv girdileri, PDF anahtar kelimeleri ve ilk baytların onaltılık dökümü (hex dump) yer alır.
- Sonraki adımı atın. Önerilen aracı izleyin, örneğin VirusTotal sorgusu için File Hash Calculator'ı, ve aynı dosyayı oraya bırakın.
Örnek
HTML smuggling eki
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.İlk satır dosya adı, geri kalanı içeriği olur. Algılayıcı bir HTML belgesi bildirir, .pdf.html çift uzantısını ve HTML smuggling örüntüsünü (atob, Blob ve zorunlu indirme) işaretler ve HTML Attachment Analyzer'ı önerir.
Neyi kontrol eder?
| Sinyal | Bunun anlamı nedir? |
|---|---|
| Tespit edilen tür ve uzantı | Uzantı eşleşir, eşleşmez, kontrol edilmez veya yoktur. Uyuşmazlık, gizlenmiş bir dosyanın temel işaretidir. |
| Belge veya görsel kılığındaki kod | Tehlike: ad zararsız bir dosya vaat ederken içerik bir program, kısayol veya betiktir. .txt olarak kaydedilmiş bir betik ise uyarı alır. |
| Çift uzantı | statement.pdf.exe veya invoice.pdf.html gibi bir ad: ilk uzantı yalnızca süstür. |
| Sağdan sola geçersiz kılma ve görünmez karakterler | Bir adın sahte bir uzantı göstermesini sağlayan Unicode hileleri. Gerçek uzantı bildirilir. |
| Arşiv içeriği | Bir ZIP içindeki yürütülebilir dosyalar, betikler, kısayollar, HTML dosyaları ve çift uzantılar, şifreli girdiler ve Zip Slip yolları hiçbir şey çıkarılmadan işaretlenir. |
| Office makroları ve nesneleri | VBA projeleri, Excel 4.0 makro sayfaları, gömülü OLE nesneleri, Equation Editor nesneleri ve parola korumalı belgeler. |
| PDF anahtar kelimeleri | Otomatik açılış eylemli JavaScript, /Launch, gömülü dosyalar, form gönderimi ve gizlenmiş adlar. |
| Kısayollar ve disk görüntüleri | Komut araçlarını çalıştıran veya uzak konumlara işaret eden LNK dosyaları ve indirme uyarılarını atlatmak için kullanılan ISO, IMG veya VHD görüntüleri. |
| HTML ve SVG | Smuggling örüntüleri, kimlik bilgilerini başka bir yere gönderen formlar ve işaretleme içindeki betikler. |
| Sona eklenmiş ZIP | Bir ZIP arşivi başka bir dosyanın sonunda bulunduğunda bir not: kendiliğinden açılan bir arşiv, bir yükleyici veya iki biçimde birden geçerli olan bir polyglot dosya. |
Diğer örnekler
ZIP içinde bir program
Statement.zip containing one file, Statement.pdf.exeZIP archive, .zip matches. İki tehlike işareti: 1 yürütülebilir, betik veya kısayol dosyası (Statement.pdf.exe) içeriyor ve bir girdi adında çift uzantı var. Entries listesi dosyayı "runs code" olarak işaretler.
Fotoğraf adı verilmiş bir yürütülebilir dosya
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)DOS / 16-bit executable (MZ); .jpg does not match. Tehlike: yürütülebilir dosya .jpg kılığına sokulmuştur; ad zararsız bir dosya vaat ederken içerik koddur.
Açılışta JavaScript çalıştıran bir PDF
scan.pdf whose /OpenAction points to a /JavaScript actionPDF document, .pdf matches. Tehlike: JavaScript ve dosya açıldığında onu çalıştırabilecek otomatik bir eylem içeriyor. Keywords satırı /JavaScript, /JS ve /OpenAction'ı listeler.
Sık Sorulan Sorular
Algılayıcı bir dosyanın ne olduğuna nasıl karar verir?
İlk baytları ve ISO görüntüleri için 0x8001 veya TAR için 257 gibi sabit konumları yaklaşık 100 biçim imzasıyla karşılaştırır, ardından ZIP, OLE2, PE, LNK, PDF ve RTF yapılarının içine bakar: Office parçaları ve makrolar, MSI ve Outlook akışları, EXE veya DLL ve işlemci türü, kısayol hedefleri ve PDF eylem anahtar kelimeleri. Metin dosyaları shebang satırı, HTML etiketleri veya PowerShell söz dizimi gibi işaretlere göre sınıflandırılır.
Neyi gözden kaçırabilir veya yanlış değerlendirebilir?
Metin biçimleri sezgisel yöntemlerle tanınır; bu nedenle kısa bir betik düz metin olarak bildirilebilir ve sıkıştırılmış nesne akışlarının içindeki PDF anahtar kelimelerini göremez. Dosya türünü ve gizleme hilelerini tanımlar, ancak kötü amaçlı yazılım taraması yapmaz; bu nedenle temiz bir sonuç bir karar değildir.
Dosya yükleniyor veya açılıyor mu?
Hayır. Tarayıcı yalnızca ihtiyaç duyduğu bayt aralıklarını cihazınızdaki dosyadan okur; hiçbir şey çalıştırılmaz veya işlenmez ve ağ üzerinden hiçbir şey gönderilmez.
.jpg veya .pdf adlı bir dosya neden tehlikeli olabilir?
E-posta filtreleri bir dosyayı çoğu zaman uzantısına göre değerlendirir. .jpg olarak yeniden adlandırılmış bir program bu filtrelerden geçebilir ve yeniden çalışması için yalnızca bir yeniden adlandırma veya bir yükleyici gerekir; .pdf adlı bir HTML sayfası ise tarayıcıda sahte bir giriş sayfası olarak açılabilir.
Birden fazla dosyayı aynı anda kontrol edebilir miyim?
Evet. En fazla 50 dosyayı bırakın veya seçin; her biri kendi sonuç kartını alır ve Clear hepsini kaldırır.
Bir tehlike işaretinden sonra ne yapmalıyım?
Dosyayı açmayın. File Hash Calculator ile hash'ini alın, SHA-256'yı VirusTotal'da veya MalwareBazaar'da arayın ve göndereni e-posta sağlayıcınıza bildirin.