جست‌وجوی امضای فایل (عدد جادویی)

درباره این ابزار

بیشتر قالب‌های فایل با یک دنبالهٔ ثابت از بایت‌ها شروع می‌شوند که عدد جادویی یا امضای فایل نامیده می‌شود — برای مثال تصاویر JPEG با FF D8 FF، فایل‌های PDF با 25 50 44 46 («%PDF») و قالب‌های مبتنی بر ZIP (از جمله DOCX و XLSX) با 50 4B 03 04 — که صرف‌نظر از پسوند فایل، قالب را مشخص می‌کنند. چون امضاها در محتوای واقعی فایل جای دارند نه در نام آن، مبنای ابزارهایی مانند فرمان `file` در یونیکس‌اند و بسیار قابل‌اعتمادتر از باور به فایلی با نام عوض‌شده یا بدون پسوندند.

این جست‌وجو بایت‌های ابتدایی یک فایل را که به‌صورت هگز وارد شده می‌گیرد و با یک جدول مرجع از امضاهای رایج تصویر، آرشیو، سند و فایل اجرایی تطبیق می‌دهد تا قالب واقعی را شناسایی کند. کارشناسان فارنزیک دیجیتال، تحلیلگران بدافزار و توسعه‌دهندگانی که اعتبارسنج بارگذاری یا تشخیص‌دهندهٔ نوع فایل می‌سازند از آن برای تأیید اینکه یک فایل واقعاً چیست استفاده می‌کنند — گرفتن فایل‌های اجرایی پنهان‌شده، دانلودهای خراب یا فایل‌های برچسب‌خورده اشتباه که یک بررسی ساده پسوند از دست می‌داد.