Bir HTML veya SVG ekini gizli yükler, atob/eval zincirleri ve site dışına gönderen formlar için tarayın.
Yeni
Çok Katmanlı Kod Çözücü
Yerelde çalışırYeni
Araç İngilizce dilindedir; bu sayfada ise araç, sizin dilinizde açıklanmaktadır.
Çok Katmanlı Kod Çözücü'i kullanın
Ne işe yarar?
Kodlanmış veya gizlenmiş metni yapıştırın; çözücü, okunabilir metin veya bilinen bir dosya biçimi kalana kadar katmanları her adımı göstererek birer birer soyar. Her şey tarayıcınızda çalışır.
Tamamen tarayıcınızda çalışır: girdiğiniz hiçbir bilgi yukarıya yüklenmez.
Çok Katmanlı Kod Çözücü nasıl kullanılır?
- Kodlanmış metni yapıştırın. Dizeyi Encoded text alanına yapıştırın: bir betikten Base64 blob'u, uzun bir hex dizesi, yüzde kodlu metin veya bir String.fromCharCode listesi.
- Çözün. Decode layers düğmesine veya Ctrl+Enter'a basın. Tanınan her katman sırayla, en fazla 12 katmana kadar soyulur.
- Zinciri okuyun. Başlık katmanları sırayla listeler. Her adım yöntemi, önceki ve sonraki boyutu ve bir önizlemeyi gösterir.
- Sonucu kullanın. Çözülen metni kopyalayın, Indicators in the result bölümünü okuyun ya da HTML Attachment Analyzer, Link Unwrapper, IOC Converter veya URL Defanger için Send to'yu kullanın.
- Elle müdahale edin. Bir katman gözden kaçarsa Decode as altında bir yöntem seçip uygulayın. Undo last layer bir adım geri gider.
Örnek
gzip verisinin URL kodlu Base64'ü
H4sIAAAAAAACA7MpTi7KLCixK8%2FMS8kv18vJT04syczP08soSk1TsFVQyigpKSi20tdPrUjMLchJ1UvOz9UvSy3KTKu0L04tLgYqtTVPM05UsrbRh5oEACvqcc1SAAAA3 layers: URL percent-encoding → Base64 → gzip
No further encoding recognised.
1
URL percent-encoding
1 escape · 130 → 128 bytes
H4sIAAAAAAACA7MpTi7KLCixK8/MS8kv18vJT04syczP08soSk1TsFVQyigpKSi20tdPrUjMLchJ1UvOz9UvSy3KTKu0L04tLgYqtTVPM05UsrbRh5oEACvqcc1SAAAA
2
Base64
decodes to gzip · 128 → 96 bytes
00000000 1f 8b 08 00 00 00 00 00 02 03 b3 29 4e 2e ca 2c |...........)N..,|
00000010 28 b1 2b cf cc 4b c9 2f d7 cb c9 4f 4e 2c c9 cc |(.+..K./...ON,..|
00000020 cf d3 cb 28 4a 4d 53 b0 55 50 ca 28 29 29 28 b6 |...(JMS.UP.())(.|
… 48 more bytes
3
gzip
96 → 82 bytes
<script>window.location.href = "hxxps://example[.]com/verify?session=7f3a";</script>
Result
Text, 82 bytes.
<script>window.location.href = "hxxps://example[.]com/verify?session=7f3a";</script>
Indicators in the result (1)
URL
hxxps://example[.]com/verify?session=7f3a
Copy indicators (raw)Üç katman: URL yüzde kodlaması (%2F), gzip verisine çözülen Base64 ve gzip'in kendisi; sonunda tarayıcıyı https://example.com/verify adresine gönderen bir betik çıkar.
Neyi kontrol eder?
| Sinyal | Bunun anlamı nedir? |
|---|---|
| Katman zinciri | Kodlamalar sırayla; örneğin Hex → Base64. Kısa bir URL'nin veya komutun etrafındaki birkaç katman genellikle birinin onu gizlemek istediği anlamına gelir. |
| Adım başına boyut | Her katmana giren ve çıkan bayt. Çok büyüyen bir gzip veya deflate katmanı olağan bir açma işlemidir. |
| UTF-16LE metin | Karakter başına iki bayt; PowerShell -EncodedCommand için tipiktir. Bir şey indiren veya başlatan çözülmüş bir komut tehlike işaretidir. |
| İkili sonuç | Son sonuç metin değilse, ilk 512 baytın hex dökümü tespit edilen biçimle birlikte gösterilir. Hex veya Base64 olarak kopyalayın; asla çalıştırmayın. |
| Indicators in the result | Çözülen metinde bulunan URL'ler, e-posta adresleri ve IPv4 adresleri; zararsızlaştırılmış olarak, ham hâlde kopyalamak için bir düğmeyle gösterilir. |
| Durma iletisi | Başka kodlama tanınmadı, 12 katman sınırına ulaşıldı ya da bir adım önceki bir sonucu tekrarlayacaktı. Sınırda daha fazla katman olabilir. |
| Defang seçeneği | Varsayılan olarak açıktır: sonuçtaki URL'ler ve e-posta adresleri zararsızlaştırılmış olarak gösterilir. Copy her zaman ham metni verir. |
| Keep peeling seçeneği | Elle yapılan bir Decode as adımından sonra, işaretini kaldırmadığınız sürece çözme otomatik olarak devam eder. |
| Decode as listesi | Otomatik geçişin atladığı adımlar için Base64, URL-safe Base64, hex, URL yüzde kodlaması, HTML varlıkları, kaçış dizileri, karakter kodları, quoted-printable, gzip, zlib, ham deflate ve UTF-16LE. |
| Kopyalama düğmeleri | Copy çözülen metni ham olarak verir. İkili bir sonuç bunun yerine Copy as hex ve Copy as Base64 sunar. |
Diğer örnekler
RFC 4648 test vektörü
Zm9vYmFy1 katman: Base64, 8 → 6 bayt. Sonuç, RFC 4648'de yayımlanmış değer olan foobar metnidir.
Bir URL'yi saran Base64'ü saran hex
6148523063484d364c793973623264706269356c654746746347786c4c6d356c644339795a584e6c64413d3d2 katman: Hex → Base64 (88 → 44 → 31 bayt). Sonuç https://login.example.net/reset; zararsızlaştırılmış olarak gösterilir ve Indicators in the result altında listelenir.
PowerShell kodlanmış komutu
UwB0AGEAcgB0AC0AUAByAG8AYwBlAHMAcwAgACcAaAB0AHQAcABzADoALwAvAGUAeABhAG0AcABsAGUALgBvAHIAZwAvAHUAcABkAGEAdABlACcA2 katman: Base64 → UTF-16LE metin; PowerShell -EncodedCommand için tipik olduğu not edilir. Sonuç Start-Process 'https://example.org/update'; URL bir gösterge olarak listelenir.
Sık Sorulan Sorular
Hangi kodlamaları tanır?
Base64 (standart ve URL-safe, dolgu isteğe bağlı), düz, 0x, \x, boşluklu veya iki nokta ile ayrılmış biçimde hex, URL yüzde kodlaması, HTML varlıkları (entity), \x, \u, \u{…} ve %u kaçış dizileri, String.fromCharCode listeleri, quoted-printable, gzip, zlib ve ham deflate ile PowerShell -EncodedCommand gibi UTF-16LE metin. atob('…') veya base64_decode('…') gibi çağrılar ve data: URI'leri de açılır.
Neden durdu ya da metnimi olduğu gibi bıraktı?
Bir katman yalnızca çıktısı okunabilir metin, bilinen bir dosya biçimi veya temiz şekilde açılan bir akış olduğunda kabul edilir; bu nedenle tesadüfen geçerli Base64 olan sıradan kelimelere dokunulmaz. Bu yüzden kısa veya alışılmadık kodlamalar gözden kaçabilir: bir yöntemi elle uygulamak için Decode as'i, geri adım atmak için Undo'yu kullanın. 12 katmandan sonra durur.
Çözülen içerik çalıştırılıyor veya bir yere gönderiliyor mu?
Hayır. Çözme düz JavaScript ve tarayıcının DecompressionStream'ini kullanır; sonuç metin veya hex dökümü olarak gösterilir ve hiçbir zaman çalıştırılmaz, işlenmez veya yüklenmez.
Bu tür dizeler nereden gelir?
Kimlik avı sayfaları ve ekleri URL'leri ve kodu Base64 veya hex içinde gizler, ClickFix sayfaları kodlanmış PowerShell komutlarını panonuza kopyalar ve e-postalar quoted-printable olarak gelir. Dizeyi çalıştırmak yerine buraya yapıştırın.
Katmanları tek tek çözebilir miyim?
Evet. After a manual step, keep peeling automatically seçeneğinin işaretini kaldırın, ardından her adım için Decode as altında bir yöntem seçip Apply to the current result düğmesine basın.
Ne kadar metin yapıştırabilirim?
En fazla 5 MB. 200.000 karakterden uzun sonuçlar ekranda kısaltılır, ancak Copy metnin tamamını verir.
Quoted-printable ve yüzde kodlaması nedir?
Her ikisi de bir baytı bir işaret ve ardından iki hex basamakla yazar. Quoted-printable e-posta gövdelerinden gelir; orada =3D, = anlamına gelir. Yüzde kodlaması URL'lerden gelir; orada %2F, / anlamına gelir.