Biztonságos a ZIP-fájl? Ellenőrizd kibontás előtt

Nézd meg a ZIP-et, mielőtt kibontod. A tartalomjegyzék minden fájlt felsorol a nevével, a méretével és azzal, mennyit csökkent. Öt dolog jelezheti, ha a ZIP bajt akar okozni: kibontáskor felfúvódó méret, mappából kilógó nevek, egy második kiterjesztés, amely elrejti a valódi típust, egy titkosított bejegyzés, és olyan fájl, amelynek valódi típusa nem egyezik a nevével. Először nézd meg, mi van a ZIP-ben, és csak azt bontsd ki, amit vártál.

ZIP-megtekintőMi van ebben a ZIP-ben?Próbáld ki ingyen

Mit mutat a ZIP tartalomjegyzéke

A ZIP minden fájlt bejegyzésként tárol. Az archívum végén van egy lista, a központi könyvtár, bejegyzésenként egy rekorddal. Minden rekord tartalmazza a bejegyzés nevét és elérési útját, a tömörítés előtti és utáni méretét, a tömörítési módot, a CRC-32 nevű ellenőrző összeget (a tartalomból számított rövid szám, amely a sérülés felismerésére szolgál), valamint azt, hogy a bejegyzés titkosított-e.

A kibontó programok először ezt a listát olvassák el. A ZIP-megtekintő csak a listát olvassa, így semmit sem kell kibontani ahhoz, hogy lásd, mi van benne. Az archívum egyetlen eleme sem fut le.

Zip bombák: kis fájlok, amelyek óriásira bomlanak

A tömörítés úgy működik, hogy az ismétlődő adatokat rövid kódokkal helyettesíti, ezért minél több az ismétlődés, annál kisebb lesz az eredmény. A tömörítési arány a kibontott méret osztva a tömörített mérettel. A hosszú, azonos adatsorok rendkívül jól tömörülnek. A szokásos ZIP-módszer az azonos bájtokból álló hosszú sorozatot körülbelül ezerszeresére tudja összezsugorítani.

A zip bomba ezt használja ki. Ez egy kis archívum, amely kibontva több gigabájtot foglal el, néha úgy, hogy archívumok vannak más archívumokba ágyazva, így a méret megsokszorozódik. Egy ilyen kibontása megtölti a lemezt, és lefagyaszthatja a számítógépet.

A szokásos fájlok megadják, mi a normális arány. A szöveg és a kód sokat zsugorodik. A fotók, a videók és a már tömörített fájlok, például a .docx, .xlsx és .jpg, alig zsugorodnak. Ha egy sima dokumentumnak szánt fájl aránya a százas nagyságrendet éri, az figyelmeztető jel.

Mappából kilógó nevek

Minden bejegyzésnév tartalmazhat mappákat. Az olyan név, mint a ../../Startup/update.bat, arra utasítja a kibontót, hogy két szintet lépjen felfelé, és egy indítómappába írjon, ahol a program minden bejelentkezéskor lefut. Ezt útvonal-bejárásnak vagy „zip slip”-nek hívják. A gondos kibontók eltávolítják a ../ részeket. A régebbi eszközök és a házi készítésű szkriptek nem biztos, hogy.

A perjellel kezdődő név, például /etc/... vagy C:\..., ugyanez a probléma: egy rögzített helyre próbál írni a lemezen. A megtekintő pontosan úgy mutatja a neveket, ahogy tárolva vannak, így még azelőtt elolvashatod őket, hogy bármi kiíródna.

Dupla kiterjesztések és rejtett típusok

Egy fájlnév utolsó kiterjesztése mondja meg a rendszernek, milyen fájl. Az invoice.pdf.exe .exe-re végződik, tehát program, pedig PDF-re utaló névvel kezdődik. A Windows alapértelmezetten elrejti az ismert fájltípusok kiterjesztését, így a név csak „invoice.pdf”-ként látszik.

Valódi típus az első bájtokból

Minden fájltípus néhány jellegzetes bájttal kezdődik. A kiterjesztés csak címke, és bárki megváltoztathatja. A Fájltípus-ellenőrző beolvassa ezeket az első bájtokat, és összeveti őket a fájlnévvel.

Típus	Első bájtok (hexadecimális)
PDF dokumentum	25 50 44 46 (a „%PDF” szöveg)
PNG kép	89 50 4E 47
JPEG kép	FF D8 FF
ZIP, valamint Word- vagy Excel-fájlok (ZIP-ek belül)	50 4B 03 04 (a „PK” szöveg)
Windows-program	4D 5A (az „MZ” szöveg)

Az eltérés nem bizonyítja, hogy a fájl ártalmas. Azt viszont jelenti, hogy a fájl nem az, aminek a neve mutatja, és ez elég ok arra, hogy megálljunk és ellenőrizzük, honnan jött.

Titkosított bejegyzések

A jelszóval védett bejegyzés elrejti a tartalmát. A megtekintő továbbra is mutatja a neveket és a méreteket, de belül itt semmit sem lehet megvizsgálni, a víruskeresők sem tudnak belenézni. Ezért használnak a támadók titkosított archívumokat, hogy átcsempésszék a fájlokat a szűrőkön. A banki kivonatokat és az adóbevallásokat is gyakran szándékosan titkosítják. Ha a feladó ismerős, a jelszót más csatornán kérd el, és csak akkor nyisd meg az archívumot, ha tudod, ki küldte.

Mac- és Windows-szemét

Két rendszer olyan fájlokat ad hozzá, amelyeket te nem hoztál létre:

• macOS minden fájlhoz extra adatot tárol egy rejtett __MACOSX mappában, a fájlok mellett ._ nevű fájlokkal, és .DS_Store fájlokat ír, amelyek a Finder nézetbeállításait őrzik.
• Windows a Thumbs.db-t, egy bélyegképgyorsítótárat, és a desktop.ini-t, amely a mappák megjelenítési beállításait tartalmazza, teszi hozzá.

Ezek ártalmatlanok, de rendetlenné teszik az archívumot, és összezavarják azt, aki kapja.

Tisztítsd meg az archívumot küldés előtt

A ZIP fájl tisztítása új archívumot készít Mac- és Windows-fájlok nélkül. Az eredeti megmarad. Biztonságos sorrend:

1. Nyisd meg az archívumot a ZIP-megtekintőben, és olvass el minden nevet.
2. A Fájltípus-ellenőrzővel ellenőrizd azokat a fájlokat, amelyek neve vagy típusa gyanúsnak tűnik.
3. Tisztítsd meg az archívumot, majd nyisd meg a tisztított másolatot, hogy megbizonyosodj róla, benne van minden, amit küldeni akartál.
4. Küldd el a tisztított másolatot.

Speciális esetek

• Archívumok archívumokban. A megtekintő a külső listát mutatja. Nyisd meg a belső archívumot külön, és ugyanígy ellenőrizd.
• Sérült archívumok. A központi könyvtár a végén van, így egy törött vég megakadályozhatja, hogy a ZIP egyáltalán megnyíljon. Ez sérülési probléma, és nem bizonyítja, hogy az archívum biztonságos. Ellenőrizd, nem sérült-e.
• Önkicsomagoló fájlok. Az archívumhoz program van csatolva, gyakran .exe kiterjesztéssel, így maga is program. Ne futtasd, ha nem bízol a forrásban.
• Egy tiszta lista nem garancia. Egy rendezett lista azt mutatja, hogy a nevek és a méretek normálisnak látszanak. Nem bizonyítja, hogy minden fájl ártalmatlan. Ne futtass programot megbízhatatlan archívumból, még akkor sem, ha ellenőrizted.