Devineur du type de fragment de fichier

• Analyse indépendante de l'en-tête : contrairement aux outils d'identification de fichiers traditionnels qui s'appuient sur des octets magiques (en-têtes de fichiers), notre outil fonctionne sur une analyse pure des modèles d'octets. Cela signifie qu'il peut identifier les types de fichiers même lorsque l'en-tête est manquant, corrompu ou supprimé, ce qui le rend inestimable pour la récupération de données, la sculpture de fichiers et l'analyse médico-légale de fichiers fragmentés ou endommagés.
• Plus de 20 profils de types de fichiers : l'outil compare les caractéristiques des fragments à plus de 20 profils précalculés couvrant l'image (JPEG, PNG, GIF, BMP, WebP), l'audio (MP3, WAV), la vidéo (MP4), le document (PDF, Office XML, HTML/XML, texte brut, JSON, CSV, Markdown), l'archive (ZIP, GZIP, Deflate stream), l'exécutable (ELF, PE), la police (TrueType/OpenType) et le crypté. données. Chaque profil définit les plages attendues pour l'entropie, l'ASCII imprimable, la densité de zéro octet et d'autres mesures.
• Détection des marqueurs internes : au-delà de l'analyse statistique, l'outil analyse le fragment à la recherche de marqueurs d'octets internes : des séquences d'octets caractéristiques qui apparaissent dans des types de fichiers spécifiques, quelle que soit leur position. Par exemple, les fichiers PNG contiennent des marqueurs de bloc IHDR et IDAT, les fichiers JPEG contiennent des segments de marqueur (FF DB, FF C0, FF DA), les PDF contiennent des mots-clés de flux/endstream et les fichiers ZIP contiennent des signatures d'en-tête de fichier locales.
• Profil d'octet complet : chaque analyse produit un profil d'octet détaillé comprenant l'entropie de Shannon (bits par octet), les valeurs d'octet moyennes/médianes/de mode, l'écart type, le nombre d'octets uniques, le pourcentage ASCII imprimable, le pourcentage de zéro octet, le pourcentage de bits élevés (0x80+), le pourcentage d'espaces et la détection d'exécution nulle. These metrics together provide a unique fingerprint that distinguishes compressed data from text, encrypted data from images, and more.

• Forensique numérique et réponse aux incidents : les enquêteurs médico-légaux peuvent analyser des fragments de fichiers récupérés à partir d'images disque, d'espace non alloué ou de vidages de mémoire. Lorsque les en-têtes de fichiers sont manquants en raison d'une suppression ou d'un endommagement de la partition, le devineur de type de fragment fournit des indices critiques sur le type de fichier d'origine. Cela permet de prioriser les efforts de récupération et de comprendre quel type de données a été stocké dans une région, même sans structure de fichiers complète.
• Récupération de données et sculpture de fichiers : les spécialistes de la récupération de données peuvent utiliser l'outil pour identifier le type de fragments inconnus récupérés à partir d'un support de stockage endommagé. By understanding the likely file type, recovery tools can be directed to use appropriate carving strategies. The byte profile also helps distinguish between actual file data and padding or empty space.
• Analyse des logiciels malveillants et ingénierie inverse : les analystes de logiciels malveillants rencontrent souvent des fichiers binaires codés, compressés ou fragmentés. Le devineur de type de fragment peut aider à identifier si une région de données suspecte contient du code exécutable, des charges utiles compressées, des données de configuration chiffrées ou des ressources intégrées. Cette classification guide l'analyste sur les outils et techniques à appliquer pour une analyse plus approfondie.
• Analyse du système de fichiers et du stockage : les ingénieurs de stockage peuvent analyser les blocs des systèmes de fichiers endommagés où les structures de répertoires sont perdues. En analysant les blocs bruts, l'outil identifie quels types de fichiers ont été stockés dans différentes régions. Ceci est utile pour l'investigation du système de fichiers, la compréhension des modèles d'utilisation du disque et la récupération des données à partir de disques formatés ou repartitionnés.
• Analyse du micrologiciel et des systèmes embarqués : lors de l'analyse des dumps du micrologiciel, des images ROM ou de la mémoire système intégrée, le devineur de type de fragment peut identifier les régions de code, les tables de données, les blocs de configuration, les sections compressées du micrologiciel et les images du système de fichiers. Cela aide les rétro-ingénieurs à cartographier la structure des images de micrologiciels inconnus sans documentation.
• Éducation et recherche en cybersécurité : les étudiants et les chercheurs en criminalistique numérique et en ingénierie inverse peuvent utiliser l'outil pour comprendre à quoi ressemblent les différents types de fichiers au niveau de l'octet. Le profil statistique fournit des informations pédagogiques sur les raisons pour lesquelles les fichiers compressés ont une entropie élevée, pourquoi les fichiers texte ont une faible entropie et comment les algorithmes de classification des types de fichiers fonctionnent dans la pratique.

La recherche du type de fragment de fichier est le processus d'identification du format de fichier probable d'un fragment de données en analysant ses caractéristiques au niveau de l'octet, sans s'appuyer sur les en-têtes de fichier (octets magiques) ou les extensions de fichier. Chaque type de fichier a des propriétés statistiques distinctes : les images comme JPEG et PNG ont une entropie moyenne à élevée avec des modèles d'octets spécifiques, les fichiers texte ont une faible entropie avec des pourcentages ASCII imprimables élevés, les archives compressées ont une entropie presque maximale avec des distributions d'octets uniformes et les données cryptées sont statistiquement impossibles à distinguer des données aléatoires. En calculant un profil d'octet (entropie, distribution de fréquence d'octet, pourcentage ASCII imprimable, densité de zéro octet, mesures statistiques) et en le comparant aux profils précalculés de types de fichiers connus, l'outil produit une liste classée de correspondances possibles avec des scores de confiance. Cette technique est également connue sous le nom d'identification statistique du type de fichier ou de classification des types de fichiers par contenu.

• Fichiers texte (TXT, HTML, JSON, CSV, Markdown) : caractérisés par une faible entropie (3,5 à 6 bits/octet), un ASCII imprimable très élevé (70 à 100 %), des octets nuls proches de zéro et un contenu d'espaces élevé (10 à 40 %). Les valeurs d'octets se regroupent autour de valeurs ASCII communes (lettres, chiffres, ponctuation). Les valeurs moyennes se situent généralement entre 50 et 100 et le nombre d'octets uniques est généralement inférieur à 100 sur 256 valeurs possibles.
• Fichiers image (JPEG, PNG, GIF, BMP, WebP) : entropie moyenne à élevée (5-8 bits/octet) selon la compression. Les données de pixels contiennent une large gamme de valeurs d'octets, ce qui donne plus de 200 octets uniques. Le pourcentage de zéro octet varie considérablement (5 à 45 %). Les fichiers BMP ont tendance à avoir plus de zéros en raison du remplissage, tandis que les fichiers JPEG ont une structure de marqueur distinctive (octets FF suivis de codes de marqueur).
• Données compressées et cryptées : entropie maximale (7,5 à 8 bits/octet), ASCII imprimable proche de zéro (0 à 5 %), distribution uniforme des octets avec plus de 250 valeurs uniques et espacement très faible. Les données cryptées ont la propriété supplémentaire de fréquences d'octets presque égales (chaque valeur d'octet apparaît environ n/256 fois), tandis que les flux zlib/deflate peuvent présenter de légers biais. Ce sont les plus difficiles à distinguer les uns des autres sans analyse cryptographique.
• Formats d'archive (ZIP, GZIP) : les fichiers ZIP ont une structure distincte avec des en-têtes de fichiers locaux intégrés (PK\x03\x04) dans toute l'archive, entrecoupés de données compressées. Cela crée un modèle caractéristique d’en-têtes à faible entropie mélangés à des données compressées à haute entropie. Les fichiers GZIP ont une structure plus simple avec un en-tête, des données compressées et une fin.
• Exécutables (ELF, PE) : les exécutables binaires ont une entropie modérée (5-7,5 bits/octet) avec des sections structurées. Les segments de code contiennent des instructions machine avec des fréquences d'octets caractéristiques, tandis que les segments de données contiennent des chaînes intégrées, des tables d'importation et des données de ressources. Le remplissage de zéro octet est courant pour l’alignement.

1. Calcul du profil d'octet : l'outil lit chaque octet du fragment téléchargé et crée un tableau de fréquence complet (nombre de chaque valeur d'octet 0-255). À partir de ce tableau, il calcule : l'entropie de Shannon (mesure du caractère aléatoire/compressibilité), les valeurs moyennes/médianes/mode des octets, l'écart type (comment les valeurs d'octets sont réparties), le nombre d'octets uniques, le pourcentage d'octets ASCII imprimables (0x20-0x7E), le pourcentage d'octets nuls (0x00), le pourcentage d'octets à bits élevés (0x80-0xFF), le pourcentage d'espaces (espace, tabulation, CR, LF, FF) et détection d'exécution nulle (exécutions de 4+ zéros).
2. Analyse des marqueurs internes : l'outil analyse le fragment à la recherche de séquences d'octets connues qui sont caractéristiques de types de fichiers spécifiques, mais pas nécessairement au début du fichier. Par exemple, il recherche les identifiants de blocs PNG (IHDR, IDAT, IEND), les segments de marqueur JPEG (SOI, APP0, DQT, SOF0, DHT, SOS), les mots-clés structurels PDF (stream, endstream, obj), les en-têtes de fichiers locaux ZIP (PK\x03\x04), et plus encore. La recherche de marqueurs internes augmente considérablement le score de confiance pour le type de fichier correspondant.
3. Correspondance et notation de profils : chacun des plus de 20 profils de types de fichiers définit les plages attendues pour l'entropie, l'ASCII imprimable, les octets zéro, les bits élevés, les espaces et la valeur médiane. L'outil calcule dans quelle mesure les métriques du fragment correspondent à chaque profil à l'aide d'un système de notation pondéré (25 points pour l'entropie, 20 pour l'ASCII imprimable, 15 pour zéro octet, 10 pour les bits élevés, les espaces et la médiane, plus jusqu'à 20 points bonus pour les marqueurs internes et 5 points pour les modèles d'exécution nuls). Les résultats sont triés par score, produisant une liste classée de suppositions de types de fichiers avec des pourcentages de confiance.

Ne remplace pas la détection d'octets magiques : le devineur de type de fragment est conçu pour les scénarios dans lesquels les en-têtes sont manquants ou inaccessibles. Lorsque les en-têtes de fichiers sont intacts, la détection des octets magiques (comme notre File Magic Byte Detector) est beaucoup plus précise. La confiance varie : de très petits fragments (<100 octets) fournissent des données statistiques limitées et donnent lieu à des estimations de confiance inférieure. Les fragments de 1 Ko ou plus produisent des résultats fiables. Profils similaires : certains types de fichiers ont des profils d'octets très similaires (par exemple, flux compressés ou données cryptées, ou formats d'image différents). Limite de taille de fichier : les fragments jusqu'à 50 Mo sont pris en charge. 100 % privé : tout le traitement s'effectue entièrement dans votre navigateur. Les fichiers ne quittent jamais votre appareil : pas de téléchargement, pas d'inscription, pas de collecte de données, pas de suivi de l'utilisation.