Är ZIP-filen säker? Kontrollera den innan du packar upp

Kontrollera en ZIP-fil innan du packar upp den. Dess innehållsförteckning listar varje fil med namn, storlek och hur mycket den krympt. Fem saker syns där när en ZIP-fil försöker orsaka problem: en storlek som sväller vid uppackning, namn som tar sig ut ur sin mapp, en andra filändelse som döljer den verkliga typen, en krypterad post och en fil vars verkliga typ inte stämmer med namnet. Titta in i ZIP-filen först, och packa bara upp det du väntade dig.

ZIP-visareVad finns i den här ZIP-filen?Gör det gratis

Vad en ZIP-fils innehållsförteckning visar

En ZIP-fil lagrar varje fil som en post. I slutet av arkivet finns en lista, kallad den centrala katalogen, med en post per fil. Varje post innehåller filens namn och sökväg, storleken före och efter komprimering, komprimeringsmetoden, en kontrollsumma som kallas CRC-32 (ett kort tal beräknat från innehållet, används för att upptäcka skador) och om posten är krypterad.

Uppackningsprogram läser först den här listan. ZIP-visaren läser bara listan, så du kan se vad som finns inuti utan att packa upp något. Inget i arkivet körs.

Zip bombs: små filer som packas upp till enorm storlek

Komprimering fungerar genom att ersätta upprepad data med korta koder, så ju mer upprepning, desto mindre blir resultatet. Kompressionsgraden är den okomprimerade storleken delad med den komprimerade storleken. Långa följder av upprepad data komprimeras extremt bra. Den vanliga ZIP-metoden kan krympa en lång följd av identiska byte cirka tusen gånger.

En zip bomb utnyttjar det. Det är ett litet arkiv som packas upp till flera gigabyte, ibland med arkiv inbäddade i arkiv för att multiplicera storleken. Att packa upp ett sådant fyller disken och kan frysa datorn.

Vanliga filer ger dig en känsla för normal kompressionsgrad. Text och kod krymper mycket. Foton, videor och filer som redan är komprimerade, till exempel .docx, .xlsx och .jpg, krymper knappt alls. En kompressionsgrad på hundratals för något som borde vara ett vanligt dokument är en varningssignal.

Namn som tar sig ut ur mappen

Varje postnamn kan innehålla mappar. Ett namn som ../../Startup/update.bat säger till uppackningsprogrammet att gå upp två nivåer och skriva i en startmapp, där programmet skulle köras varje gång du loggar in. Det här kallas sökvägsgenomgång, eller „zip slip”. Noggranna uppackningsprogram tar bort delarna ../. Äldre verktyg och hemmagjorda skript gör kanske inte det.

Ett namn som börjar med ett snedstreck, till exempel /etc/... eller C:\..., är samma problem: det försöker skriva till en fast plats på disken. Visaren visar namnen precis så som de är lagrade, så du kan läsa dem innan något skrivs.

Dubbla filändelser och dolda filtyper

Den sista filändelsen i ett filnamn talar om för systemet vilken typ av fil det är. faktura.pdf.exe slutar på .exe, så det är ett program, även om namnet börjar som ett PDF-namn. Windows döljer som standard filändelsen för kända filtyper, så namnet kan se ut som „faktura.pdf”.

Kontrollera den verkliga filtypen med de första byten

Varje filtyp börjar med några signaturbyte. Filändelsen är bara en etikett, och vem som helst kan ändra den. Kontrollera filens verkliga typ läser de första byten och jämför dem med namnet.

Typ	Första byten (hexadecimalt)
PDF-dokument	25 50 44 46 (texten %PDF)
PNG-bild	89 50 4E 47
JPEG-bild	FF D8 FF
ZIP, samt Word- och Excel-filer (de är ZIP-arkiv inuti)	50 4B 03 04 (texten PK)
Windowsprogram	4D 5A (texten MZ)

En avvikelse betyder inte att en fil är skadlig. Den betyder att filen inte är vad dess namn säger, och det räcker för att stanna upp och kolla var den kommer ifrån.

Krypterade poster

En lösenordsskyddad post döljer sitt innehåll. Visaren kan fortfarande visa namn och storlekar, men inget inuti kan granskas här, och skannrar kan inte heller läsa inuti den. Därför använder angripare krypterade arkiv för att smuggla filer förbi filter. Bankutdrag och skattedeklarationer krypteras dessutom ofta med avsikt. Om avsändaren är någon du känner, be om lösenordet via en annan kanal, och öppna arkivet först när du vet vem som skickade det.

Skräp från Mac och Windows

Två system lägger till filer som du inte skapade:

• macOS lagrar extra data för varje fil i en dold mapp __MACOSX, med namn som börjar med ._ bredvid filerna, och skriver .DS_Store-filer som sparar Finders visningsinställningar.
• Windows lägger till Thumbs.db, en miniatyrbildscache, och desktop.ini, som innehåller mappens visningsinställningar.

De är ofarliga, men de rörar till arkivet och förvirrar mottagaren.

Rensa arkivet innan du skickar det

Rensa ZIP-filen ger dig ett nytt arkiv utan Mac- och Windows-filerna. Originalet lämnas orört. En säker ordning:

1. Öppna arkivet i ZIP-visaren och läs varje namn.
2. Kontrollera alla filer vars namn eller typ ser fel ut med filtypskontrollen.
3. Rensa arkivet, och öppna sedan den rensade kopian för att bekräfta att den innehåller det du menade att skicka.
4. Skicka den rensade kopian.

Specialfall

• Arkiv inuti arkiv. Visaren visar den yttre listan. Öppna det inre arkivet separat och kontrollera det på samma sätt.
• Skadade arkiv. Den centrala katalogen sitter i slutet, så ett trasigt slut kan göra att en ZIP-fil inte öppnas alls. Det är ett skadeproblem, inte ett bevis för att arkivet är säkert. Kontrollera om den är skadad.
• Självuppackande filer. Ett arkiv med ett program bifogat, ofta med namnet .exe, är ett program. Kör det inte om du inte litar på källan.
• En ren lista är ingen garanti. En prydlig lista visar att namnen och storlekarna ser normala ut. Den bevisar inte att varje fil är ofarlig. Kör inte ett program från ett arkiv du inte litar på, inte ens efter kontrollen.