Tra cứu chữ ký tệp (số magic)

Giới thiệu về công cụ này

Hầu hết các định dạng tệp bắt đầu bằng một chuỗi byte cố định gọi là số magic hay chữ ký tệp — chẳng hạn ảnh JPEG bắt đầu bằng FF D8 FF, PDF bằng 25 50 44 46 ("%PDF"), và các định dạng dựa trên ZIP (gồm DOCX và XLSX) bằng 50 4B 03 04 — xác định định dạng bất kể phần mở rộng của tệp. Vì chữ ký nằm trong nội dung thực của tệp chứ không phải trong tên, chúng là cơ sở của các công cụ như lệnh `file` của Unix và đáng tin cậy hơn nhiều so với việc tin vào một tệp đã bị đổi tên hoặc bị bỏ phần mở rộng.

Công cụ tra cứu này nhận các byte đầu của một tệp, nhập ở dạng thập lục phân, và đối chiếu chúng với một bảng tham chiếu các chữ ký ảnh, tệp lưu trữ, tài liệu và tệp thực thi phổ biến để xác định định dạng thật. Điều tra viên pháp y số, nhà phân tích mã độc và nhà phát triển xây dựng bộ xác thực tải lên hoặc bộ phát hiện loại tệp dùng nó để xác nhận một tệp thực sự là gì — bắt được các tệp thực thi ngụy trang, tệp tải xuống bị hỏng hoặc tệp bị gắn nhãn sai mà một phép kiểm tra phần mở rộng đơn giản sẽ bỏ sót.