Czy ten plik ZIP jest bezpieczny? Sprawdź go przed rozpakowaniem

Sprawdź ZIP przed rozpakowaniem. Jego spis zawartości pokazuje każdy plik z nazwą, rozmiarem i stopniem kompresji. Pięć rzeczy ujawnia, że ZIP może sprawiać kłopoty: rozmiar, który puchnie po rozpakowaniu, nazwy wychodzące poza swój folder, drugie rozszerzenie ukrywające prawdziwy typ, zaszyfrowany wpis i plik, którego prawdziwy typ nie zgadza się z nazwą. Najpierw zajrzyj do środka ZIP-a i rozpakuj tylko to, czego się spodziewasz.

Podgląd ZIPCo jest w tym ZIP-ie?Zrób to za darmo

Co pokazuje spis zawartości ZIP-a

ZIP przechowuje każdy plik jako wpis. Na końcu archiwum znajduje się lista, zwana katalogiem centralnym, z jednym rekordem na wpis. Każdy rekord zawiera nazwę wpisu i ścieżkę, rozmiar przed i po kompresji, metodę kompresji, sumę kontrolną CRC-32 (krótką liczbę obliczoną z zawartości, służącą do wykrywania uszkodzeń) oraz informację, czy wpis jest zaszyfrowany.

Programy do rozpakowywania najpierw czytają tę listę. Podgląd ZIP czyta tylko listę, więc możesz zobaczyć, co jest w środku, bez rozpakowywania czegokolwiek. Nic z archiwum nie zostaje uruchomione.

Zip bomby: małe pliki, które rozpakowują się ogromnie

Kompresja polega na zastępowaniu powtarzających się danych krótkimi kodami, więc im więcej powtórzeń, tym mniejszy wynik. Stopień kompresji to rozmiar po rozpakowaniu podzielony przez rozmiar po kompresji. Długie ciągi powtarzających się danych kompresują się bardzo dobrze. Popularna metoda ZIP potrafi zmniejszyć długi ciąg identycznych bajtów około tysiąc razy.

Zip bomba to właśnie wykorzystuje. To małe archiwum, które rozpakowuje się do wielu gigabajtów, czasem z archiwami zagnieżdżonymi w archiwach, żeby mnożyć rozmiar. Rozpakowanie takiego pliku zapełnia dysk i może zawiesić komputer.

Zwykłe pliki dają ci wyobrażenie o normalnym stopniu kompresji. Tekst i kod kurczą się mocno. Zdjęcia, filmy i pliki, które są już skompresowane, takie jak .docx, .xlsx czy .jpg, prawie się nie zmniejszają. Stopień kompresji w setkach dla czegoś, co powinno być zwykłym dokumentem, to sygnał ostrzegawczy.

Nazwy wychodzące poza folder

Nazwy wpisów mogą zawierać foldery. Nazwa taka jak ../../Startup/update.bat każe programowi rozpakowującemu wyjść o dwa poziomy wyżej i zapisać plik w folderze autostartu, gdzie program uruchamiałby się przy każdym logowaniu. Nazywa się to path traversal albo „zip slip”. Ostrożne narzędzia usuwają części ../. Starsze programy i domowe skrypty mogą tego nie robić.

Nazwa zaczynająca się od ukośnika, np. /etc/... albo C:\..., to ten sam problem: próba zapisu w stałym miejscu na dysku. Podgląd pokazuje nazwy dokładnie tak, jak są zapisane, więc możesz je przeczytać, zanim cokolwiek zostanie zapisane.

Podwójne rozszerzenia i ukryte typy

Ostatnie rozszerzenie nazwy pliku mówi systemowi, jakiego rodzaju to plik. faktura.pdf.exe kończy się na .exe, więc to program, mimo że nazwa zaczyna się jak PDF. Windows domyślnie ukrywa rozszerzenia znanych typów plików, więc nazwa może wyglądać jak „faktura.pdf”.

Sprawdź prawdziwy typ po pierwszych bajtach

Każdy typ pliku zaczyna się od kilku bajtów sygnatury. Rozszerzenie jest tylko etykietą, a każdy może ją zmienić. Sprawdź prawdziwy typ pliku odczytuje te pierwsze bajty i porównuje je z nazwą.

Typ	Pierwsze bajty (szesnastkowo)
Dokument PDF	25 50 44 46 (tekst %PDF)
Obraz PNG	89 50 4E 47
Obraz JPEG	FF D8 FF
ZIP oraz pliki Word i Excel (to ZIP-y w środku)	50 4B 03 04 (tekst PK)
Program Windows	4D 5A (tekst MZ)

Niezgodność nie dowodzi, że plik jest szkodliwy. Oznacza jedynie, że plik nie jest tym, za kogo podaje się jego nazwa, i to wystarczający powód, by się zatrzymać i sprawdzić, skąd pochodzi.

Wpisy zaszyfrowane

Wpis chroniony hasłem ukrywa swoją zawartość. Podgląd nadal pokaże nazwy i rozmiary, ale nic w środku nie da się tu sprawdzić, a skanery też nie zajrzą do środka. Dlatego atakujący używają zaszyfrowanych archiwów, by przemycić pliki obok filtrów. Wyciągi bankowe i formularze podatkowe często też są szyfrowane celowo. Jeśli nadawca to ktoś, kogo znasz, poproś o hasło innym kanałem i otwieraj archiwum tylko wtedy, gdy wiesz, kto je wysłał.

Śmieci z Maca i Windowsa

Dwa systemy dodają pliki, których nie tworzyłeś:

macOS zapisuje dodatkowe dane każdego pliku w ukrytym folderze __MACOSX, z nazwami ._ obok plików, i tworzy pliki .DS_Store, które przechowują ustawienia widoku Findera.
Windows dodaje Thumbs.db, pamięć podręczną miniatur, oraz desktop.ini, w którym zapisane są ustawienia wyświetlania folderu.

Są nieszkodliwe, ale zaśmiecają archiwum i mylą osobę, która je otrzymuje.

Oczyść archiwum przed wysłaniem

Wyczyść ZIP tworzy nowe archiwum bez plików z Maca i Windowsa. Oryginał zostaje bez zmian. Bezpieczna kolejność działań:

Otwórz archiwum w Podglądzie ZIP i przeczytaj każdą nazwę.
Sprawdź każdy plik, którego nazwa lub typ wygląda źle, za pomocą sprawdzania typu pliku.
Wyczyść archiwum, a potem otwórz oczyszczoną kopię, by upewnić się, że zawiera to, co chciałeś wysłać.
Wyślij oczyszczoną kopię.

Przypadki szczególne

Archiwa w archiwach. Podgląd pokazuje listę zewnętrznego archiwum. Otwórz wewnętrzne archiwum osobno i sprawdź je tak samo.
Uszkodzone archiwa. Katalog centralny znajduje się na końcu, więc uszkodzony koniec może w ogóle uniemożliwić otwarcie ZIP-a. To problem uszkodzenia, a nie dowód, że archiwum jest bezpieczne. Sprawdź je pod kątem uszkodzeń.
Pliki samorozpakowujące się. Archiwum z dołączonym programem, często nazwane .exe, jest programem. Nie uruchamiaj go, jeśli nie ufasz źródłu.
Czysta lista nie jest gwarancją. Uporządkowana lista pokazuje, że nazwy i rozmiary wyglądają normalnie. Nie dowodzi, że każdy plik jest nieszkodliwy. Nie uruchamiaj programu z archiwum, któremu nie ufasz, nawet po sprawdzeniu.