Dateityp-Erkennung – Dateien anhand von Magic Bytes identifizieren

Jede Datei anhand ihres Inhalts identifizieren

Die Endung eines Dateinamens ist nur ein Etikett, und Etiketten können falsch sein. Downloads verlieren ihre Endung, E-Mail-Systeme benennen Anhänge um, und Dateien, die von Smartphones oder aus alten Backups kopiert wurden, heißen oft einfach file oder IMG_0001, ohne jeden Hinweis auf ihren Inhalt. Diese Erkennung ignoriert den Namen und schaut sich stattdessen die Bytes an. Fast jedes Binärformat beginnt mit einer unverwechselbaren Signatur, den sogenannten Magic Bytes: 89 50 4E 47 für PNG, FF D8 FF für JPEG, %PDF- für PDF, PK für ZIP und 37 7A BC AF 27 1C für 7-Zip. Das Tool vergleicht deine Datei mit weit über hundert Signaturen für Bilder, Audio, Video, Archive, Dokumente, Schriftarten, ausführbare Dateien, Datenbanken und Disk-Images.

Manche Formate erfordern einen genaueren Blick. MP4, MOV, M4A, HEIC und AVIF teilen sich alle die ISO-Base-Media-Struktur, daher liest die Erkennung die Markenkennung in der ftyp-Box. DOCX, XLSX, PPTX, EPUB, ODT, JAR und APK sind alles ZIP-Dateien, daher untersucht sie die Namen der ersten Einträge. Alte Office-Dokumente teilen sich den OLE2-Container, und Textdateien werden als JSON, XML, HTML, SVG, PEM-Schlüssel, vCards oder einfacher UTF-8- und UTF-16-Text erkannt.

Unpassende und verdächtige Endungen erkennen

Für jede Datei erhältst du das erkannte Format, seinen Standard-MIME-Typ, die Kategorie und die Endungen, die dieses Format normalerweise verwendet – neben dem Typ, den dein Browser aus dem Namen erraten hat. Passt die Endung nicht zum Inhalt, siehst du eine Warnung. Meist ist das harmlos – ein als .jpg gespeichertes PNG lässt sich trotzdem öffnen –, doch eine „invoice.pdf“, die sich als ausführbare Windows-Datei entpuppt, ist ein gängiger Weg, Malware zu verbreiten. Der Hex-Dump der ersten 64 Bytes mit Offsets und einer ASCII-Spalte ermöglicht es Entwicklern, das Ergebnis selbst zu überprüfen.

Von jeder Datei werden nur die ersten 64 KB gelesen, und alles geschieht in deinem Browser, sodass selbst sehr große Videos oder Disk-Images sofort geprüft werden und nichts hochgeladen wird. Du kannst viele Dateien auf einmal prüfen und für jede einen kurzen Textbericht kopieren.