MD5, SHA-1 và SHA-256 của bất kỳ tệp nào, kèm theo các liên kết tìm kiếm sẵn có trên VirusTotal và MalwareBazaar.
Mới
Trình phát hiện loại tệp
Chạy cục bộMới
Công cụ này được hiển thị bằng tiếng Anh; trang này giải thích về công cụ đó bằng ngôn ngữ của bạn.
Sử dụng Trình phát hiện loại tệp
Chức năng của nó là gì?
Kéo thả một tệp tin để xem bản chất thực sự của nó là gì, dựa trên số byte thay vì tên tệp, và xem liệu tên, phần mở rộng hay nội dung của tệp có cố gắng che giấu điều đó hay không. Không có tệp nào được tải lên hay mở ra.
Ứng dụng này hoạt động hoàn toàn trên trình duyệt của bạn: mọi thông tin bạn nhập vào đều không được tải lên.
Cách sử dụng Trình phát hiện loại tệp
- Giữ tệp ở trạng thái đóng. Lưu tệp đính kèm hoặc tải xuống mà không cần mở nó.
- Thả hoặc chọn tệp. Kéo và thả một hoặc nhiều tệp vào ô hoặc chọn chúng. Mỗi lần thả tối đa 50 tệp sẽ được chọn, mỗi tệp nằm trong một thẻ riêng.
- So sánh loại và phần mở rộng. Loại, Hạng và Phần mở rộng được phát hiện sẽ hiển thị ở phía trên cùng. Dòng chữ màu đỏ “không khớp” có nghĩa là tên tệp không phản ánh đúng nội dung.
- Xem các biểu tượng và thông tin chi tiết. Các ô “Nguy hiểm” và “Cảnh báo” giải thích từng hình thức ngụy trang hoặc tính năng tiềm ẩn rủi ro. Phía dưới các ô này là các byte chữ ký, các mục lưu trữ, từ khóa PDF và bản trích xuất mã hex của các byte đầu tiên.
- Hãy tiến thêm một bước nữa. Hãy sử dụng công cụ được đề xuất, chẳng hạn như File Hash Calculator để tra cứu trên VirusTotal, và tải tệp đó lên đó.
Ví dụ
Chèn tệp đính kèm vào HTML
Invoice_0425.pdf.html
<html><body><script>
var data = atob('UEsDBBQAAAAIAA==');
var blob = new Blob([data], {type: 'application/zip'});
var a = document.createElement('a');
a.href = URL.createObjectURL(blob);
a.download = 'Invoice_0425.zip';
a.click();
</script></body></html>Invoice_0425.pdf.html
254 B (254 bytes) · read 254 B
DETECTED TYPE
HTML document
KIND
web page text/html
EXTENSION
.html matches
.html fits HTML document.
Danger: HTML smuggling pattern: script decodes embedded data and offers it as a download (Blob/atob/msSaveOrOpenBlob).
Warning: Double extension: ".pdf" is decoration, the real extension is ".html" (a web page posing as a document, typical of phishing attachments).
Text encoding
UTF-8 or ASCII
Script and form hints
script element; atob() Base64 decoding; Blob construction; URL.createObjectURL(); forced download (download attribute)
FIRST 64 BYTES
0000 3C 68 74 6D 6C 3E 3C 62 6F 64 79 3E 3C 73 63 72 <html><body><scr
0010 69 70 74 3E 0A 76 61 72 20 64 61 74 61 20 3D 20 ipt>.var data =
0020 61 74 6F 62 28 27 55 45 73 44 42 42 51 41 41 41 atob('UEsDBBQAAA
0030 41 49 41 41 3D 3D 27 29 3B 0A 76 61 72 20 62 6C AIAA==');.var bl
Copy hex dump
Next: HTML Attachment Analyzer (inspect scripts, forms and embedded payloads); File Hash Calculator (hash the file for VirusTotal and MalwareBazaar lookups). Open it and drop the same file there.Dòng đầu tiên trở thành tên tệp, phần còn lại là nội dung của tệp. Công cụ sniffer báo cáo đây là một tài liệu HTML, đánh dấu phần mở rộng kép .pdf.html và mẫu “lách luật” HTML (atob, Blob và tải xuống bắt buộc), đồng thời chuyển hướng đến công cụ HTML Attachment Analyzer.
Nó kiểm tra những gì
| Tín hiệu | Ý nghĩa của điều đó là gì |
|---|---|
| Loại và phần mở rộng được phát hiện | Phần mở rộng trùng khớp, không trùng khớp, không được kiểm tra hoặc bị thiếu. Sự không trùng khớp là dấu hiệu chính của một tệp được ngụy trang. |
| Mã được ngụy trang dưới dạng tài liệu hoặc hình ảnh | Cảnh báo: Nội dung là một chương trình, lối tắt hoặc tập lệnh, trong khi tên tệp lại gợi ý rằng đó là một tệp vô hại. Ngược lại, một tập lệnh được lưu dưới dạng .txt sẽ hiển thị cảnh báo. |
| Kéo dài kép | Một tên tệp như statement.pdf.exe hoặc invoice.pdf.html: phần mở rộng đầu tiên chỉ mang tính trang trí. |
| Tính năng ghi đè từ phải sang trái và các ký tự ẩn | Các thủ thuật Unicode khiến tên tệp hiển thị phần mở rộng giả. Phần mở rộng thực tế vẫn được báo cáo. |
| Nội dung kho lưu trữ | Các tệp thực thi, tập lệnh, lối tắt, tệp HTML và các tệp có hai phần mở rộng bên trong tệp ZIP, các mục được mã hóa và các đường dẫn Zip Slip sẽ bị đánh dấu mà không cần giải nén bất kỳ thứ gì. |
| Các macro và đối tượng trong Office | Các dự án VBA, các trang macro trong Excel 4.0, các đối tượng OLE được nhúng, các đối tượng Trình soạn thảo phương trình và các tài liệu được bảo vệ bằng mật khẩu. |
| Từ khóa PDF | JavaScript có hành động mở tự động, /Launch, tệp nhúng, gửi biểu mẫu và tên được mã hóa. |
| Các lối tắt và hình ảnh đĩa | Các tệp LNK dùng để chạy các công cụ lệnh hoặc trỏ đến các vị trí từ xa, cùng với các hình ảnh ISO, IMG hoặc VHD được sử dụng để vượt qua các cảnh báo tải xuống. |
| HTML và SVG | Các mô hình buôn lậu, các biểu mẫu thông tin đăng nhập được đăng ở nơi khác và các đoạn mã trong thẻ đánh dấu. |
| Tệp ZIP đính kèm | Một lưu ý khi tệp nén ZIP nằm ở cuối một tệp khác: đó có thể là tệp nén tự giải nén, trình cài đặt hoặc tệp đa định dạng có thể mở được ở hai định dạng khác nhau. |
Các ví dụ khác
Một chương trình nằm trong tệp ZIP
Statement.zip containing one file, Statement.pdf.exeTệp lưu trữ ZIP, các kết quả khớp với định dạng .zip. Có hai cảnh báo nguy hiểm: tệp này chứa 1 tệp thực thi, tập lệnh hoặc lối tắt (Statement.pdf.exe), và tên của một mục có hai phần mở rộng. Danh sách các mục đánh dấu tệp này là “chạy mã”.
Một tệp thực thi được đặt tên là một bức ảnh
photo.jpg, a 64-byte file that starts with the bytes 4D 5A (MZ)Tệp thực thi DOS / 16-bit (MZ); tệp .jpg không khớp. Cảnh báo: tệp thực thi này được ngụy trang dưới dạng tệp .jpg — một tên tệp gợi ý rằng đây là tệp vô hại, trong khi nội dung thực tế lại là mã nguồn.
Một tệp PDF có thể chạy JavaScript ngay khi mở
scan.pdf whose /OpenAction points to a /JavaScript actionTài liệu PDF, các kết quả khớp với .pdf. Cảnh báo: Tài liệu này chứa JavaScript và một hành động tự động có thể kích hoạt mã này khi tệp được mở. Dòng Từ khóa liệt kê các từ khóa /JavaScript, /JS và /OpenAction.
Câu hỏi thường gặp
Làm thế nào để công cụ sniffer xác định một tệp là gì?
Nó so sánh các byte đầu tiên và các vị trí cố định như 0x8001 đối với hình ảnh ISO hoặc 257 đối với TAR, với khoảng 100 dấu hiệu định dạng, sau đó kiểm tra bên trong các cấu trúc ZIP, OLE2, PE, LNK, PDF và RTF: các thành phần và macro của Office, các luồng MSI và Outlook, các tệp EXE hoặc DLL cùng loại CPU, các mục tiêu của lối tắt và các từ khóa hành động trong PDF. Các tệp văn bản được phân loại dựa trên các dấu hiệu như dòng shebang, thẻ HTML hoặc cú pháp PowerShell.
Nó có thể bỏ sót hoặc sai ở điểm nào?
Các định dạng văn bản được nhận diện bằng phương pháp heuristic, do đó một đoạn mã ngắn có thể bị báo cáo là văn bản thuần túy, và các từ khóa PDF nằm trong các luồng đối tượng nén sẽ không được hệ thống phát hiện. Công cụ này mô tả loại tệp và các thủ thuật ngụy trang nhưng không quét tìm phần mềm độc hại, vì vậy kết quả “sạch” không phải là kết luận cuối cùng.
Tệp này đã được tải lên hay đang được mở?
Không. Trình duyệt chỉ đọc các dải byte cần thiết từ tệp trên thiết bị của bạn, không có lệnh nào được thực thi hay hiển thị, và không có dữ liệu nào được gửi qua mạng.
Tại sao một tệp có tên là .jpg hoặc .pdf lại có thể nguy hiểm?
Các bộ lọc thư thường đánh giá một tệp dựa trên phần mở rộng của nó. Một chương trình được đổi tên thành .jpg có thể lọt qua các bộ lọc này và chỉ cần đổi tên lại hoặc sử dụng trình tải để chạy lại, còn một trang HTML có tên .pdf có thể mở trong trình duyệt dưới dạng một trang đăng nhập giả mạo.
Tôi có thể kiểm tra nhiều tệp cùng một lúc không?
Đúng vậy. Bạn có thể thả hoặc chọn tối đa 50 tệp; mỗi tệp sẽ có một thẻ kết quả riêng, và nút “Xóa” sẽ xóa tất cả các tệp đó.
Sau khi có tín hiệu cảnh báo, tôi nên làm gì?
Đừng mở tệp tin đó. Hãy tính mã băm của tệp tin bằng công cụ File Hash Calculator, tra cứu mã SHA-256 trên VirusTotal hoặc MalwareBazaar, và báo cáo người gửi cho nhà cung cấp dịch vụ email của bạn.