Er denne ZIP-fil sikker at åbne? Tjek den, før du pakker den ud

Tjek en ZIP-fil, før du pakker den ud. Dens indholdsfortegnelse viser hver fil med navn, størrelse og hvor meget den er blevet mindre. Der er fem ting, der kan afsløre, at en ZIP-fil vil forvolde problemer: en størrelse, der svulmer op, når den pakkes ud, navne, der klatrer ud af deres mappe, en anden filendelse, der skjuler den rigtige type, en krypteret fil, og en fil, hvis rigtige type ikke passer til navnet. Kig ind i ZIP-filen først, og pak kun de filer ud, du forventer.

ZIP-fremviserHvad er i denne ZIP?Prøv gratis

Hvad en ZIP-fils indholdsfortegnelse viser

En ZIP-fil gemmer hver fil som en post. Til sidst i arkivet gemmer den en liste, kaldet den centrale mappe, med én post for hver fil. Hver post indeholder filens navn og sti, størrelsen før og efter komprimering, komprimeringsmetoden, en kontrolsum kaldet CRC-32 (et kort tal beregnet ud fra indholdet, der bruges til at opdage skader), og om filen er krypteret.

Udpakningsprogrammer læser først denne liste. ZIP-fremviseren læser kun listen, så du kan se, hvad der er indeni, uden at pakke noget ud. Intet i arkivet bliver kørt.

Zip bombs: små filer, der pakkes ud til enorme størrelser

Komprimering virker ved at erstatte gentaget data med korte koder, så jo mere gentagelse, desto mindre bliver resultatet. Kompressionsforholdet er den ukomprimerede størrelse divideret med den komprimerede størrelse. Lange rækker af gentaget data komprimeres ekstremt godt. Den almindelige ZIP-metode kan gøre en lang række af ens bytes omkring tusind gange mindre.

En zip bomb udnytter netop det. Det er et lille arkiv, der pakkes ud til flere gigabyte, nogle gange med arkiver indlejret i arkiver for at gange størrelsen. Hvis du pakker en sådan ud, fylder den disken og kan få computeren til at ggå i stå.

Almindelige filer giver dig en fornemmelse af det normale forhold. Tekst og kode bliver meget mindre. Fotos, videoer og filer, der allerede er komprimeret, som .docx, .xlsx og .jpg, bliver næsten ikke mindre. Et forhold i hundredvis på noget, der burde være et simpelt dokument, er et advarselstegn.

Navne, der klatrer ud af mappen

Hvert filnavn i arkivet kan indeholde mapper. Et navn som ../../Startup/update.bat fortæller udpakningsprogrammet at gå to niveauer op og skrive ind i en opstartsmappe, hvor programmet vil køre, hver gang du logger ind. Det kaldes path traversal eller "zip slip". Omhyggelige udpakningsprogrammer fjerner ../-delene. Ældre værktøjer og hjemmelavede scripts gør måske ikke.

Et navn, der starter med en skråstreg, som /etc/... eller C:\..., er det samme problem: det forsøger at skrive til et fast sted på din disk. Fremviseren viser navne præcis, som de er gemt, så du kan læse dem, før noget bliver skrevet.

Dobbelte filendelser og skjulte typer

Den sidste filendelse i et filnavn fortæller systemet, hvilken type fil det er. faktura.pdf.exe slutter på .exe, så det er et program, selvom navnet starter, så det ligner en PDF. Windows skjuler som standard filendelsen for kendte filtyper, så navnet kan se ud som "faktura.pdf".

Tjek den rigtige type ud fra de første bytes

Enhver filtype begynder med nogle få signaturbytes. Filendelsen er kun en etiket, og alle kan ændre den. Tjek en fils rigtige type læser disse første bytes og sammenligner dem med navnet.

Type	Første bytes (hexadecimal)
PDF-dokument	25 50 44 46 (teksten %PDF)
PNG-billede	89 50 4E 47
JPEG-billede	FF D8 FF
ZIP, og Word- eller Excel-filer (de er ZIP-filer indeni)	50 4B 03 04 (teksten PK)
Windows-program	4D 5A (teksten MZ)

En uoverensstemmelse beviser ikke, at en fil er skadelig. Den betyder dog, at filen ikke er, hvad navnet siger, og det er grund nok til at stoppe op og tjekke, hvor den kommer fra.

Krypterede poster

En adgangskodebeskyttet post skjuler sit indhold. Fremviseren kan stadig vise navne og størrelser, men intet indeni kan undersøges her, og scannere kan heller ikke læse indeni den. Derfor bruger angribere krypterede arkiver til at smugle filer forbi filtre. Kontoudtog og skatteblanketter bliver også ofte krypteret med vilje. Hvis afsenderen er en, du kender, så bed om adgangskoden via en anden kanal, og åbn kun arkivet, når du ved, hvem der har sendt det.

Mac- og Windows-skrammel

To systemer tilføjer filer, du ikke selv har lavet:

• macOS gemmer ekstra data for hver fil i en skjult __MACOSX-mappe, med ._-navne ved siden af filerne, og skriver .DS_Store-filer, der gemmer indstillingerne for Finder-visningen.
• Windows tilføjer Thumbs.db, en cache med miniaturebilleder, og desktop.ini, som indeholder indstillinger for mappevisningen.

De er harmløse, men de roder i arkivet og forvirrer den, der modtager det.

Rens et arkiv, før du sender det

Rens ZIP-filen giver dig et nyt arkiv uden Mac- og Windows-filerne. Din original forbliver, som den var. En sikker fremgangsmåde:

1. Åbn arkivet i ZIP-fremviseren, og læs hvert navn.
2. Tjek alle filer, hvis navn eller type ser forkert ud, med filtypekontrollen.
3. Rens arkivet, og åbn derefter den rensede kopi for at bekræfte, at den stadig indeholder det, du havde tænkt dig at sende.
4. Send den rensede kopi.

Specielle tilfælde

• Arkiver i arkiver. Fremviseren viser den ydre liste. Åbn det indre arkiv separat, og tjek det på samme måde.
• Beskadigede arkiver. Den centrale mappe ligger til sidst, så en ødelagt slutning kan gøre, at en ZIP-fil slet ikke kan åbnes. Det er et skadesproblem og ikke et bevis for, at arkivet er sikkert. Tjek det for skader.
• Selvudpakkende filer. Et arkiv med et program vedhæftet, ofte med navnet .exe, er et program. Kør det ikke, medmindre du stoler på kilden.
• En ren liste er ingen garanti. En pæn liste viser, at navne og størrelser ser normale ud. Den beviser ikke, at hver fil er harmløs. Kør ikke et program fra et arkiv, du ikke stoler på, heller ikke efter at have tjekket det.