После загрузки файла из интернета, почты или другого источника его расширение может отличаться от реального типа содержимого. Это происходит из‑за антивирусного сканирования, переопределения MIME‑типа на сервере, автоматические переименования в почтовых клиентах или намеренного маскирования. Чтобы открыть файл безопасно и корректно, необходимо определить его настоящий формат и, если нужно, вернуть подходящее расширение.
Почему расширение может измениться
Изменение расширения не всегда указывает на вредоносное намерение. Наиболее частые причины:
- Антивирусные шлюзы или почтовые фильтры переименовывают вложения, добавляя префиксы или меняя расширение на .txt, .dat или .bin для блокировки потенциально опасных типов.
- Веб‑серверы могут отдавать файл с заголовком Content‑Disposition: attachment; filename=…, где имя файла задаётся администратором и не совпадает с реальным типом.
- Некоторые браузеры и файловые менеджеры автоматически меняют расширение, если считают, что оно не соответствует содержимому (например, переименовывают image.jpg в image.jpe).
- Злоумышленники могут сознательно маскировать исполняемый файл под документ, меняя расширение на .pdf или .docx.
Как определить реальный тип файла
Для диагностики используются признаки, которые не зависят от расширения: сигнатура (магические байты), структура внутренних блоков и метаданные. Ниже представлен пошаговый порядок действий, применимый в большинстве операционных систем.
- Проверьте базовые свойства файла. Узнайте размер, дату создания и расположение. Очень маленький файл (несколько байт) часто является заглушкой или текстом с ложным расширением.
- Запустите утилиту file (Linux/macOS) или её эквивалент. Эта программа анализирует первые байты и сравнивает их с внутренней базой сигнатур. Пример команды:
file неизвестный_файл
Вывод может выглядеть так: PDF document, version 1.5 или JPEG image data. - Изучите сигнатуру вручную. Если утилита file недоступна или даёт неоднозначный результат, посмотрите первые несколько байтов файла в шестнадцатеричном виде. Для этого подходят команды hexdump -C, xxd или PowerShell [BitConverter]::ToString([IO.File]::ReadAllBytes(‘путь’)). Сравните полученные значения с известными сигнатурами (см. таблицу ниже).
- Определите MIME‑тип через браузер или онлайн‑сервис (только если файл не содержит конфиденциальных данных). Откройте вкладку разработчика → Сеть, найдите запрос на загрузку и посмотрите заголовок Content-Type. Это полезно, когда файл был получен напрямую с веб‑страницы.
- При необходимости переименуйте файл. После уверенного определения типа измените расширение на соответствующее (например, добавить .pdf для PDF‑документа). Сохраните резервную копию исходного файла перед переименованием.
- Проверьте целостность. Для архивов (.zip, .rar) используйте встроенные средства теста (unzip -t, unrar t). Для документов попробуйте открыть их в соответствующем приложении и убедитесь, что отображается содержимое без ошибок.
Таблица типичных сигнатур (магических байт)
| Тип файла | Сигнатура (hex) | Описание |
|---|---|---|
| 25 50 44 46 | ||
| ZIP (включая Office‑документы) | 50 4B 03 04 | PK.. |
| JPEG | FF D8 FF | Со маркерами SOI |
| PNG | 89 50 4E 47 0D 0A 1A 0A | “PNG” в заголовке |
| GIF87a / GIF89a | 47 49 46 38 37 61 / 47 49 46 38 39 61 | GIF87a / GIF89a |
| MP3 (ID3) | 49 44 33 | ID3 |
| MP3 (MPEG‑1 Layer III) | FF FB | Синхрослово MPEG |
| HTML | 3C 21 44 4F 43 54 59 50 45 | |
| XML | 3C 3F 78 6D 6C | |
| ELF (исполняемый Linux) | 7F 45 4C 46 | ELF |
| Windows PE (EXE/DLL) | 4D 5A | MZ |
Ограничения и нюансы
Некоторые файлы могут не иметь чёткой сигнатуры:
- Зашифрованные или упакованные архивы (например, .zip с паролем) всё равно сохраняют сигнатуру PK.. в начале, поэтому определить тип обычно возможно.
- Файлы без заголовка (чистый текст, CSV, JSON) не имеют уникальной магической последовательности; в таких случаях ориентируйтесь на расширение, предложенное источником, и проверяйте содержимое визуально (открыв в текстовом редакторе).
- Полиморфные вредоносные программы могут подменять сигнатуру, но такие случаи редки и требуют specialised анализа в песочнице.
Практические советы
- Всегда сохраняйте исходный файл с изменённым расширением в отдельной папке перед любыми модификациями.
- Если вы не уверены в безопасности файла, выполните первичную проверку в изолированной среде (виртуальная машина или sandbox) перед открытием на основной системе.
- Для пакетной обработки множества файлов удобно написать скрипт, который запускает file и логирует результаты в CSV.
- В корпоративной среде настройте почтовый шлюз так, чтобы он сохранял оригинальное имя файла в журнале, даже если меняет расширение для безопасности.
Что делать дальше
После того как вы определили реальный тип файла и при необходимости переименовали его, выполните следующие шаги:
- Откройте файл в приложении, соответствующем его типу, и проверьте, что содержимое корректно отображается.
- Если файл является архивом, извлеките его содержимое в временную папку и проверьте извлечённые элементы на наличие подозрительных исполняемых файлов.
- Удалите временные копии и журналы, если они содержали конфиденциальную информацию.
Следуя этим рекомендациям, вы сможете быстро и надёжно определить настоящий формат загруженного файла, избежать ошибок при открытии и снизить риск запуска вредоносного кода.