Чи безпечний цей ZIP-файл? Перевірте перед розпакуванням

Перевірте ZIP-архів перед розпакуванням. Його зміст містить список кожного файлу з назвою, розміром і тим, наскільки він стиснутий. Там помітні п’ять ознак того, що ZIP може завдати клопоту: розмір, який після розпакування різко зростає, назви, що виходять за межі своєї папки, друге розширення, яке приховує справжній тип, зашифрований елемент і файл, справжній тип якого не відповідає назві. Спершу перегляньте вміст ZIP і розпаковуйте лише те, що очікували.

Перегляд ZIPЩо всередині цього ZIP?Безкоштовно

Що показує зміст ZIP-архіву

ZIP зберігає кожен файл як окремий елемент. Наприкінці архіву є список, який називається центральним каталогом, з одним записом на кожен елемент. Кожен запис містить назву й шлях елемента, його розмір до й після стиснення, метод стиснення, контрольну суму CRC-32 (коротке число, обчислене зі вмісту, яке допомагає виявити пошкодження) і те, чи зашифрований елемент.

Програми для розпакування спершу читають цей список. Перегляд ZIP читає лише список, тож ви бачите вміст без розпакування. Нічого в архіві не запускається.

ZIP-бомби: малі архіви, що розпаковуються у величезний розмір

Стиснення працює через заміну повторюваних даних короткими кодами, тож чим більше повторів, тим менший результат. Ступінь стиснення — це розмір без стиснення, поділений на розмір після стиснення. Довгі серії повторюваних даних стискаються надзвичайно добре. Звичайний метод ZIP може зменшити довгу серію однакових байтів приблизно у тисячу разів.

ZIP-бомба використовує це. Це малий архів, який розпаковується до багатьох гігабайтів, інколи з архівами, вкладеними один в одного, щоб множити розмір. Розпакування такої бомби заповнює диск і може завісити комп’ютер.

Звичайні файли дають уявлення про нормальний ступінь стиснення. Текст і код стискаються добре. Фото, відео та файли, які вже стиснуті, як-от .docx, .xlsx і .jpg, майже не зменшуються. Ступінь у сотні для звичайного документа — це привід для тривоги.

Назви, що виходять за межі папки

Назва кожного елемента може містити папки. Назва на кшталт ../../Startup/update.bat каже розпакувальнику піднятися на два рівні вгору і записати файл у папку автозапуску, де програма запускатиметься щоразу під час входу в систему. Це називається обходом шляху, або «zip slip». Уважні розпакувальники прибирають частини ../. Старіші програми та самописні скрипти можуть цього не робити.

Назва, що починається з косої риски, наприклад /etc/... або C:\..., — та сама проблема: вона намагається записати файл у певне місце на вашому диску. Перегляд показує назви саме так, як вони збережені, тож ви можете їх прочитати до того, як щось буде записано.

Подвійні розширення та приховані типи

Останнє розширення назви файлу каже системі, що це за файл. invoice.pdf.exe закінчується на .exe, тож це програма, хоча назва починається так, ніби це PDF. Windows за замовчуванням приховує розширення відомих типів файлів, тому назва може виглядати як «invoice.pdf».

Перевірте справжній тип за першими байтами

Кожен тип файлу починається з кількох сигнатурних байтів. Розширення — лише мітка, і її може змінити будь-хто. Перевірка типу файлу читає ці перші байти й порівнює їх з назвою.

Тип	Перші байти (шістнадцятковий запис)
PDF-документ	25 50 44 46 (текст %PDF)
Зображення PNG	89 50 4E 47
Зображення JPEG	FF D8 FF
ZIP, а також файли Word і Excel (усередині вони є ZIP-архівами)	50 4B 03 04 (текст PK)
Програма для Windows	4D 5A (текст MZ)

Невідповідність не доводить, що файл шкідливий. Але вона означає, що файл не той, яким його називає назва, і цього достатньо, щоб зупинитися й з’ясувати, звідки він узявся.

Зашифровані елементи

Елемент, захищений паролем, приховує свій вміст. Перегляд усе ще показує назви та розміри, але всередину тут не зазирнути, і сканери теж не можуть його прочитати. Тому зловмисники використовують зашифровані архіви, щоб проносити файли повз фільтри. Банківські виписки й податкові форми також часто шифрують навмисно. Якщо відправник вам знайомий, попросіть пароль іншим каналом і відкривайте архів, лише коли знаєте, хто його надіслав.

Сміття від Mac і Windows

Дві системи додають файли, які ви не створювали:

macOS зберігає додаткові дані для кожного файлу в прихованій папці __MACOSX з назвами ._ поруч із файлами та записує файли .DS_Store, які зберігають налаштування вигляду Finder.
Windows додає Thumbs.db, кеш мініатюр, і desktop.ini, у якому зберігаються налаштування відображення папки.

Вони безпечні, але засмічують архів і плутають того, хто його отримує.

Очистіть архів перед надсиланням

Очистити ZIP-архів створює новий архів без файлів Mac і Windows. Оригінал залишається без змін. Безпечна послідовність дій:

Відкрийте архів у Перегляді ZIP і прочитайте кожну назву.
Перевірте будь-який файл, назва або тип якого здаються дивними, за допомогою перевірки типу файлу.
Очистіть архів, а потім відкрийте очищену копію, щоб переконатися, що в ній є саме те, що ви хотіли надіслати.
Надішліть очищену копію.

Особливі випадки

Архіви всередині архівів. Перегляд показує зовнішній список. Відкрийте внутрішній архів окремо й перевірте його так само.
Пошкоджені архіви. Центральний каталог розташований у кінці, тож пошкоджений кінець може взагалі не дати відкрити ZIP. Це проблема пошкодження, а не доказ того, що архів безпечний. Перевірте на пошкодження.
Саморозпакувальні файли. Архів із приєднаною програмою, часто з назвою .exe, є програмою. Не запускайте його, якщо не довіряєте джерелу.
Чистий список не гарантія. Охайний список показує, що назви й розміри виглядають нормально. Він не доводить, що кожен файл безпечний. Не запускайте програму з архіву, якому не довіряєте, навіть після перевірки.