MD5, SHA-1 і SHA-256 будь-якого файлу з готовими посиланнями для пошуку у VirusTotal і MalwareBazaar.
Новий
Визначення типу файлу
Працює локальноНовий
Сам інструмент доступний англійською мовою; на цій сторінці наведено пояснення вашою мовою.
Використовуйте Визначення типу файлу
Як це працює
Перетягніть файл, щоб побачити, чим він є насправді — за його байтами, а не за назвою, — і чи намагаються назва, розширення або вміст це приховати. Нічого не вивантажується й не відкривається.
Програма працює повністю у вашому браузері: жодні введені вами дані не завантажуються.
Як користуватися Визначення типу файлу
- Не відкривайте файл. Збережіть вкладення або завантаження, не відкриваючи його.
- Перетягніть або виберіть файли. Перетягніть один або кілька файлів у поле чи виберіть їх. За раз перевіряється до 50 файлів, кожен у власній картці.
- Порівняйте тип і розширення. Detected type (визначений тип), Kind (вид) і Extension (розширення) показано вгорі. Червоне "does not match" (не збігається) означає, що назва бреше про вміст.
- Прочитайте позначки та подробиці. Блоки Danger і Warning пояснюють кожен трюк маскування чи ризиковану функцію. Під ними — байти сигнатури, записи архіву, ключові слова PDF і шістнадцятковий дамп перших байтів.
- Зробіть наступний крок. Перейдіть до запропонованого інструмента, наприклад File Hash Calculator для пошуку у VirusTotal, і перетягніть туди той самий файл.
Приклад
Вкладення з HTML smuggling
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.Перший рядок стає назвою файлу, а решта — його вмістом. Інструмент повідомляє про HTML-документ, позначає подвійне розширення .pdf.html і шаблон HTML smuggling (atob, Blob і примусове завантаження) та радить скористатися HTML Attachment Analyzer.
Що перевіряється
| Сигнал | Що це означає |
|---|---|
| Визначений тип і розширення | Розширення збігається, не збігається, не перевіряється або відсутнє. Розбіжність — головна ознака замаскованого файлу. |
| Код під виглядом документа чи зображення | Небезпека: вміст — програма, ярлик або скрипт, тоді як назва обіцяє нешкідливий файл. Скрипт, збережений як .txt, натомість отримує попередження. |
| Подвійне розширення | Назва на кшталт statement.pdf.exe чи invoice.pdf.html: перше розширення — лише прикраса. |
| Right-to-left override і невидимі символи | Трюки з Unicode, через які назва показує фальшиве розширення. Інструмент повідомляє справжнє розширення. |
| Вміст архіву | Виконувані файли, скрипти, ярлики, HTML-файли й подвійні розширення всередині ZIP, зашифровані записи та шляхи Zip Slip позначаються без розпакування. |
| Макроси та об'єкти Office | Проєкти VBA, аркуші макросів Excel 4.0, вбудовані об'єкти OLE, об'єкти Equation Editor і документи, захищені паролем. |
| Ключові слова PDF | JavaScript з автоматичною дією під час відкриття, /Launch, вбудовані файли, надсилання форм і обфусковані імена. |
| Ярлики й образи дисків | Файли LNK, що запускають командні утиліти або вказують на віддалені розташування, а також образи ISO, IMG чи VHD, що використовуються для обходу попереджень під час завантаження. |
| HTML і SVG | Шаблони smuggling, форми для облікових даних, що надсилають дані деінде, і скрипти в розмітці. |
| Доданий ZIP | Примітка, коли ZIP-архів розміщено в кінці іншого файлу: самостійно розпаковуваний архів, інсталятор або поліглот-файл, коректний у двох форматах. |
Ще кілька прикладів
Програма всередині ZIP
Statement.zip containing one file, Statement.pdf.exeZIP-архів, .zip збігається. Дві позначки небезпеки: він містить 1 виконуваний файл, скрипт чи ярлик (Statement.pdf.exe), а назва запису має подвійне розширення. Список Entries позначає файл "runs code" (виконує код).
Виконуваний файл із назвою фото
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)DOS / 16-bit executable (MZ); .jpg не збігається. Небезпека: виконуваний файл замасковано під .jpg — назва обіцяє нешкідливий файл, тоді як вміст є кодом.
PDF, що запускає JavaScript під час відкриття
scan.pdf whose /OpenAction points to a /JavaScript actionPDF-документ, .pdf збігається. Небезпека: він містить JavaScript і автоматичну дію, яка може запустити його під час відкриття файлу. Рядок Keywords перелічує /JavaScript, /JS і /OpenAction.
Часті запитання
Як інструмент визначає, що це за файл?
Він порівнює перші байти, а також фіксовані зсуви, як-от 0x8001 для образів ISO чи 257 для TAR, приблизно зі 100 сигнатурами форматів, а потім заглядає всередину структур ZIP, OLE2, PE, LNK, PDF і RTF: частини Office і макроси, потоки MSI та Outlook, EXE чи DLL і тип процесора, цілі ярликів і ключові слова дій PDF. Текстові файли класифікуються за маркерами на кшталт рядка shebang, HTML-тегів або синтаксису PowerShell.
Що він може пропустити або визначити неправильно?
Текстові формати розпізнаються евристично, тож короткий скрипт може бути визначено як звичайний текст, а ключових слів PDF у стиснутих потоках об'єктів він не бачить. Він описує тип файлу й трюки маскування, але не шукає шкідливе ПЗ, тож чистий результат не є вердиктом.
Чи вивантажується або відкривається файл?
Ні. Браузер читає з файлу на вашому пристрої лише потрібні діапазони байтів, нічого не виконується й не відтворюється, і нічого не передається мережею.
Чому файл з назвою .jpg чи .pdf може бути небезпечним?
Поштові фільтри часто оцінюють файл за розширенням. Програма, перейменована на .jpg, може проскочити повз них, і для повторного запуску їй достатньо перейменування або завантажувача, а HTML-сторінка з назвою .pdf може відкритися в браузері як фальшива сторінка входу.
Чи можна перевірити кілька файлів одночасно?
Так. Перетягніть або виберіть до 50 файлів; кожен отримує власну картку результату, а Clear (очистити) видаляє їх усі.
Що робити після позначки небезпеки?
Не відкривайте файл. Обчисліть його хеш у File Hash Calculator, знайдіть SHA-256 у VirusTotal чи MalwareBazaar і поскаржтеся на відправника своєму поштовому провайдеру.