ไฟล์ ZIP นี้ปลอดภัยที่จะเปิดไหม ตรวจก่อนแตกไฟล์

ตรวจไฟล์ ZIP ก่อนแตกไฟล์ รายการข้างในจะแสดงทุกไฟล์พร้อมชื่อ ขนาด และขนาดที่ลดลงจากการบีบอัด เมื่อ ZIP มีเจตนาก่อปัญหา มักพบห้าอย่างในรายการนี้ ได้แก่ ขนาดที่พองขึ้นมากเมื่อแตกไฟล์ ชื่อที่ไต่ออกนอกโฟลเดอร์ นามสกุลที่สองซ่อนประเภทจริง รายการที่เข้ารหัส และไฟล์ที่ประเภทจริงไม่ตรงกับชื่อ ดูข้างในไฟล์ ZIP ก่อน และแตกเฉพาะไฟล์ที่คุณคาดไว้เท่านั้น

ตัวดูไฟล์ ZIPข้างใน ZIP นี้มีอะไรบ้าง?ใช้ฟรี

รายการในไฟล์ ZIP แสดงอะไรบ้าง

ZIP เก็บแต่ละไฟล์เป็นรายการ (entry) ตอนท้ายของไฟล์เก็บรายการไว้ เรียกว่า central directory โดยมีหนึ่งบันทึกต่อหนึ่งรายการ แต่ละบันทึกมีชื่อและพาธของรายการ ขนาดก่อนและหลังบีบอัด วิธีบีบอัด ค่าตรวจสอบที่เรียกว่า CRC-32 (ตัวเลขสั้น ๆ ที่คำนวณจากเนื้อหา ใช้ตรวจหาความเสียหาย) และบอกว่ารายการนั้นเข้ารหัสหรือไม่

โปรแกรมแตกไฟล์จะอ่านรายการนี้ก่อน ตัวดูไฟล์ ZIP อ่านเฉพาะรายการนี้ ทำให้คุณเห็นข้างในได้โดยไม่ต้องแตกไฟล์ และไม่มีอะไรในไฟล์ถูกรันเลย

Zip bomb: ไฟล์เล็กที่แตกออกมาแล้วใหญ่มาก

การบีบอัดทำงานโดยแทนที่ข้อมูลที่ซ้ำกันด้วยรหัสสั้น ๆ ยิ่งซ้ำมาก ผลลัพธ์ก็ยิ่งเล็ก อัตราส่วนการบีบอัด (compression ratio) คือขนาดก่อนบีบอัดหารด้วยขนาดหลังบีบอัด ข้อมูลที่ซ้ำกันยาว ๆ บีบอัดได้เล็กมาก วิธีที่ ZIP ใช้ทั่วไปสามารถลดข้อมูลไบต์เดียวกันยาว ๆ ได้ประมาณหนึ่งพันเท่า

Zip bomb ใช้จุดนี้ คือไฟล์ขนาดเล็กที่แตกออกมาได้หลายกิกะไบต์ บางครั้งซ้อนไฟล์ ZIP อยู่ในไฟล์ ZIP เพื่อให้ขนาดขยายไปเรื่อย ๆ การแตกไฟล์แบบนี้จะทำให้ดิสก์เต็มและอาจทำให้คอมพิวเตอร์ค้างได้

ไฟล์ทั่วไปช่วยให้เห็นอัตราส่วนปกติได้ ข้อความและโค้ดบีบอัดได้มาก ส่วนรูปภาพ วิดีโอ และไฟล์ที่บีบอัดมาแล้ว เช่น .docx, .xlsx และ .jpg แทบไม่ลดขนาดเลย อัตราส่วนหลักร้อยกับเอกสารธรรมดาเป็นสัญญาณเตือน

ชื่อที่ไต่ออกนอกโฟลเดอร์

ชื่อรายการแต่ละชื่ออาจมีโฟลเดอร์รวมอยู่ด้วย ชื่ออย่าง ../../Startup/update.bat บอกโปรแกรมแตกไฟล์ให้ย้อนขึ้นไปสองระดับแล้วเขียนไฟล์ลงในโฟลเดอร์ Startup ซึ่งโปรแกรมจะทำงานทุกครั้งที่คุณเข้าสู่ระบบ เรียกว่า path traversal หรือ "zip slip" โปรแกรมแตกไฟล์ที่ดีจะตัดส่วน ../ ออก แต่เครื่องมือรุ่นเก่าหรือสคริปต์ที่เขียนเองอาจไม่ทำ

ชื่อที่ขึ้นต้นด้วยเครื่องหมายทับ เช่น /etc/... หรือ C:\... ก็เป็นปัญหาเดียวกัน คือพยายามเขียนไฟล์ไปยังตำแหน่งคงที่ในดิสก์ ตัวดูไฟล์แสดงชื่อตามที่เก็บไว้จริง ทำให้คุณอ่านได้ก่อนที่จะมีการเขียนไฟล์ใด ๆ

นามสกุลซ้อนและประเภทที่ซ่อนอยู่

นามสกุลตัวสุดท้ายของชื่อไฟล์บอกระบบว่าไฟล์นั้นเป็นประเภทอะไร invoice.pdf.exe ลงท้ายด้วย .exe จึงเป็นโปรแกรม แม้จะขึ้นต้นด้วยชื่อที่ดูเหมือนไฟล์ PDF Windows ซ่อนนามสกุลของชนิดไฟล์ที่รู้จักไว้เป็นค่าเริ่มต้น ชื่อจึงอาจแสดงเป็น "invoice.pdf" ให้เห็น

ตรวจประเภทจริงจากไบต์แรก

ไฟล์ทุกประเภทขึ้นต้นด้วยไบต์ลายเซ็นไม่กี่ไบต์ นามสกุลเป็นแค่ป้ายกำกับ ใครก็เปลี่ยนได้ ตรวจสอบประเภทไฟล์ อ่านไบต์แรกเหล่านั้นแล้วเทียบกับชื่อไฟล์

ประเภท	ไบต์แรก (เลขฐานสิบหก)
เอกสาร PDF	25 50 44 46 (ข้อความ %PDF)
รูปภาพ PNG	89 50 4E 47
รูปภาพ JPEG	FF D8 FF
ZIP และไฟล์ Word หรือ Excel (เป็น ZIP ซ้อนอยู่)	50 4B 03 04 (ข้อความ PK)
โปรแกรม Windows	4D 5A (ข้อความ MZ)

การไม่ตรงกันไม่ได้พิสูจน์ว่าไฟล์เป็นอันตราย แต่หมายความว่าไฟล์นั้นไม่ใช่สิ่งที่ชื่อบอก ซึ่งเพียงพอให้หยุดและตรวจสอบว่าไฟล์มาจากไหน

รายการที่เข้ารหัส

รายการที่ตั้งรหัสผ่านจะซ่อนเนื้อหาไว้ ตัวดูยังแสดงชื่อและขนาดได้ แต่ตรวจสอบข้างในที่นี่ไม่ได้ และตัวสแกนก็อ่านข้างในไม่ได้เช่นกัน นี่คือเหตุผลที่ผู้โจมตีใช้ไฟล์เก็บถาวรที่เข้ารหัสเพื่อส่งไฟล์ผ่านตัวกรอง ใบแจ้งยอดธนาคารและแบบฟอร์มภาษีก็มักเข้ารหัสโดยตั้งใจ หากผู้ส่งเป็นคนที่คุณรู้จัก ให้ขอรหัสผ่านทางช่องทางอื่น และเปิดไฟล์เก็บถาวรเมื่อรู้แล้วว่าใครเป็นผู้ส่งเท่านั้น

ไฟล์ขยะของ Mac และ Windows

มีสองระบบที่เพิ่มไฟล์ที่คุณไม่ได้สร้าง:

• macOS เก็บข้อมูลเพิ่มเติมของแต่ละไฟล์ไว้ในโฟลเดอร์ __MACOSX ที่ซ่อนอยู่ โดยมีไฟล์ชื่อขึ้นต้นด้วย ._ อยู่ข้างไฟล์ และเขียนไฟล์ .DS_Store ที่เก็บการตั้งค่ามุมมองของ Finder
• Windows เพิ่ม Thumbs.db ซึ่งเป็นแคชภาพย่อ และ desktop.ini ซึ่งเก็บการตั้งค่าการแสดงผลของโฟลเดอร์

ไฟล์เหล่านี้ไม่เป็นอันตราย แต่ทำให้ไฟล์เก็บถาวรรกและทำให้ผู้รับสับสน

ทำความสะอาดไฟล์เก็บถาวรก่อนส่ง

ทำความสะอาดไฟล์ ZIP สร้างไฟล์เก็บถาวรใหม่ที่ไม่มีไฟล์ของ Mac และ Windows ไฟล์ต้นฉบับของคุณยังคงเดิม ลำดับที่ปลอดภัยมีดังนี้:

1. เปิดไฟล์เก็บถาวรในตัวดูไฟล์ ZIP แล้วอ่านทุกชื่อ
2. ตรวจไฟล์ที่ชื่อหรือประเภทดูผิดปกติด้วยตรวจสอบประเภทไฟล์
3. ทำความสะอาดไฟล์เก็บถาวร แล้วเปิดสำเนาที่ทำความสะอาดแล้วเพื่อยืนยันว่ายังมีสิ่งที่ตั้งใจส่งครบ
4. ส่งสำเนาที่ทำความสะอาดแล้ว

กรณีพิเศษ

• ไฟล์เก็บถาวรที่อยู่ในไฟล์เก็บถาวร ตัวดูแสดงรายการของไฟล์ชั้นนอก เปิดไฟล์ชั้นในแยกต่างหากแล้วตรวจแบบเดียวกัน
• ไฟล์เก็บถาวรที่เสียหาย central directory อยู่ตอนท้ายไฟล์ ดังนั้นส่วนท้ายที่เสียอาจทำให้ ZIP เปิดไม่ได้เลย นั่นเป็นปัญหาความเสียหาย ไม่ใช่หลักฐานว่าไฟล์ปลอดภัย ตรวจสอบไฟล์เสียหาย
• ไฟล์ที่แตกตัวเองได้ ไฟล์เก็บถาวรที่แนบโปรแกรมมาด้วย มักตั้งชื่อเป็น .exe และเป็นโปรแกรม อย่ารันเว้นแต่คุณไว้วางใจแหล่งที่มา
• รายการที่ดูสะอาดไม่ได้รับประกัน รายการที่เรียบร้อยแสดงว่าชื่อและขนาดดูปกติ แต่ไม่ได้พิสูจน์ว่าแต่ละไฟล์ไม่เป็นอันตราย อย่ารันโปรแกรมจากไฟล์เก็บถาวรที่คุณไม่ไว้วางใจ แม้จะตรวจแล้วก็ตาม