Xác định một tệp dựa trên các byte đặc trưng và các phần mở rộng giả mạo về định dạng thực sự của tệp.
Mới
Công cụ tính băm tệp
Chạy cục bộMới
Công cụ này được hiển thị bằng tiếng Anh; trang này giải thích về công cụ đó bằng ngôn ngữ của bạn.
Sử dụng Công cụ tính băm tệp
Chức năng của nó là gì?
Kéo và thả một hoặc nhiều tệp để lấy mã băm MD5, SHA-1 và SHA-256 của chúng. Quá trình tính mã băm diễn ra ngay trong trình duyệt của bạn; chỉ các liên kết tra cứu mà bạn nhấp vào mới gửi mã băm đến VirusTotal hoặc MalwareBazaar.
Ứng dụng này hoạt động hoàn toàn trên trình duyệt của bạn: mọi thông tin bạn nhập vào đều không được tải lên.
Cách sử dụng Công cụ tính băm tệp
- Thả hoặc chọn tệp. Kéo và thả một hoặc nhiều tệp vào ô này hoặc chọn chúng. Tối đa 50 tệp sẽ được đưa vào hàng đợi và được tính băm lần lượt.
- Theo dõi tiến độ. Mỗi tệp sẽ hiển thị một thẻ ghi rõ dung lượng và thanh tiến trình. Nút “Dừng” sẽ hủy xử lý tệp hiện tại và các tệp còn lại trong hàng đợi.
- Sao chép các giá trị băm. Mỗi thẻ hiển thị các giá trị MD5, SHA-1 và SHA-256 kèm theo nút “Sao chép”. Khi sao chép tất cả các giá trị băm, hệ thống sẽ tạo ra một bảng các tệp được phân tách bằng dấu tab.
- Hãy tra cứu mã băm. Nhấn vào VirusTotal hoặc MalwareBazaar để tìm kiếm mã SHA-256 trong một tab mới, hoặc sử dụng tính năng “Gửi đến” để truy cập Trình chuyển đổi IOC hoặc Trình tạo báo cáo lạm dụng.
- Bắt đầu lại. Chức năng “Clear” sẽ dừng mọi tác vụ đang chạy và tháo tất cả các thẻ ra.
Ví dụ
Câu thử nghiệm đã được công bố
The quick brown fox jumps over the lazy dogexample.txt
43 B (43 bytes) · browser type text/plain
Done
MD5
9e107d9d372bb6826bd81d3542a419d6
SHA-1
2fd4e1c67a2d28fced849ee1bb76e7391b93eb12
SHA-256
d7a8fbb307d7809469ca9abcb0082e4f8d5651e46d3cdb762d02d0bf37c9e592
VirusTotal ↗
MalwareBazaar ↗
These links open virustotal.com or bazaar.abuse.ch in a new tab and send only the SHA-256, never the file.Đã tính băm thành một tệp 43 byte có tên là example.txt: MD5 9e107d9d372bb6826bd81d3542a419d6, SHA-1 2fd4e1c67a2d28fced849ee1bb76e7391b93eb12 và SHA-256 d7a8fbb307d7809469ca9abcb0082e4f8d5651e46d3cdb762d02d0bf37c9e592, các giá trị đã được công bố cho câu này.
Nó kiểm tra những gì
| Tín hiệu | Ý nghĩa của điều đó là gì |
|---|---|
| SHA-256 | Giá trị cần trích dẫn trong các báo cáo và để tìm kiếm trong cơ sở dữ liệu phần mềm độc hại. Chỉ cần thay đổi một byte trong tệp là giá trị sẽ khác đi. |
| MD5 và SHA-1 | Vẫn được sử dụng trong các cơ chế tra cứu và nguồn cấp dữ liệu cũ. Chúng không có khả năng chống va chạm, do đó không nên chỉ dựa vào chúng làm bằng chứng. |
| Cảnh báo về tệp trống | Một tệp có kích thước 0 byte có các giá trị băm giống hệt như mọi tệp trống khác, do đó việc trùng khớp không chứng minh được điều gì cả. |
| Các tệp có dung lượng trên 500 MB | Chỉ tính toán mã MD5, và liên kết tra cứu sẽ là VirusTotal (theo mã MD5). MalwareBazaar cần mã SHA-256. |
| Ghi chú về bộ nhớ | Nếu trình duyệt không thể dành bộ nhớ cho toàn bộ tệp, các hàm băm SHA-1 và SHA-256 sẽ bị bỏ qua và sẽ có một thông báo cho biết điều này. |
| Loại trình duyệt | Loại MIME mà trình duyệt của bạn dự đoán dựa trên tên tệp. Trình duyệt không kiểm tra nội dung; File Type Sniffer mới là công cụ thực hiện việc này. |
| Sao chép tất cả các giá trị băm | Một hàng tiêu đề và mỗi tệp một dòng, bao gồm tên, số byte, MD5, SHA-1 và SHA-256, sẵn sàng để nhập vào phiếu hoặc bảng tính. |
| Liên kết tra cứu | Họ bắt đầu quá trình tìm kiếm chỉ dựa trên mã băm. Một mã băm chưa được xác định không phải là bằng chứng về tính an toàn: các mẫu mới thường chưa được liệt kê. |
| Dòng kích thước | Số byte chính xác. Nếu con số này khác với kích thước được ghi trong báo cáo hoặc nhật ký cổng thư, có nghĩa là bạn đang xem một tệp khác. |
Các ví dụ khác
Một tệp trống
A file of 0 bytesMD5 d41d8cd98f00b204e9800998ecf8427e, SHA-1 da39a3ee5e6b4b0d3255bfef95601890afd80709, SHA-256 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855, và một cảnh báo rằng đây là các giá trị băm của 0 byte, được chia sẻ bởi mọi tệp trống.
Chuỗi thử nghiệm abc
A 3-byte file containing abc, with no line breakMD5 900150983cd24fb0d6963f7d28e17f72, SHA-1 a9993e364706816aba3e25717850c26c9cd0d89d, SHA-256 ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad: các giá trị được công bố trong RFC 1321 và FIPS 180.
Một hình ảnh đĩa có dung lượng rất lớn
A 2 GB .iso fileChỉ hiển thị mã MD5, kèm theo chú thích rằng SHA-1 và SHA-256 đã bị bỏ qua do tệp có dung lượng lớn hơn 500 MB, cùng với một liên kết VirusTotal (dựa trên mã MD5).
Câu hỏi thường gặp
Máy tính tạo ra những hàm băm nào, và bằng cách nào?
Giá trị MD5 được tính toán dựa trên bản triển khai RFC 1321 của chính trang này khi tệp được đọc theo từng đoạn 4 MB; còn giá trị SHA-1 và SHA-256 được lấy từ API Web Crypto của trình duyệt. Cả ba giá trị này đều bao phủ chính xác các byte của tệp, do đó chúng trùng khớp với kết quả mà sha256sum, Get-FileHash hoặc VirusTotal báo cáo cho tệp đó.
Tại sao SHA-1 và SHA-256 lại không được hỗ trợ đối với các tệp có dung lượng rất lớn?
Web Crypto chỉ có thể tính băm cho một vùng đệm hoàn chỉnh, do đó trang web sẽ phải lưu trữ toàn bộ tệp trong bộ nhớ; nếu dung lượng vượt quá 500 MB, hệ thống sẽ bỏ qua phần vượt quá để tránh làm tab bị treo và chỉ tính băm MD5. MD5 và SHA-1 phù hợp cho việc tra cứu nhưng không có khả năng chống va chạm, do đó hãy trích dẫn giá trị SHA-256 khi báo cáo mẫu.
Tệp này đã được tải lên VirusTotal hay MalwareBazaar chưa?
Không. Tệp này sẽ không bao giờ rời khỏi trình duyệt của bạn. Các nút VirusTotal và MalwareBazaar chỉ là những liên kết thông thường, giúp mở các trang web đó trong một tab mới với mã băm được hiển thị trong thanh địa chỉ, và sẽ không có dữ liệu nào được gửi đi cho đến khi bạn nhấp vào một trong các nút đó.
Tại sao giá trị băm của tôi lại khác với giá trị băm trong báo cáo?
Bất kỳ thay đổi nào đối với các byte đều làm thay đổi giá trị băm: bản sao được lưu lại, nén lại hoặc chuyển đổi sẽ là một tệp khác. Việc đổi tên tệp không làm thay đổi giá trị băm của tệp đó. Hãy tính giá trị băm cho tệp gốc mà bạn đã nhận được.
Tôi có nên tự mình tải tệp lên VirusTotal không?
Hãy tìm kiếm theo mã băm trước tiên. Các tệp được tải lên VirusTotal sẽ được chia sẻ với các đối tác bảo mật của nền tảng này, vì vậy đừng tải lên các tài liệu chứa thông tin cá nhân hoặc dữ liệu của công ty.
Việc băm một tệp độc hại có rủi ro không?
Quá trình băm chỉ đọc các byte: tệp không bao giờ được mở, chạy hay hiển thị. Sau đó, hãy giữ tệp ở trạng thái đóng và xóa nó khi bạn không còn cần nó làm bằng chứng nữa.
“Send to” có nghĩa là gì?
Giá trị SHA-256 của từng tệp đã được băm, mỗi dòng một tệp, hoặc giá trị MD5 trong trường hợp bỏ qua SHA-256. Công cụ Chuyển đổi IOC và Trình tạo Báo cáo Lạm dụng đều chấp nhận danh sách này.