CTF--常用文件头解析

常见文件类型的文件头标识解析

在计算机世界中，文件扩展名虽然能告诉我们文件的类型，但有时会被修改或丢失。这时，通过分析文件的"文件头"（File Header）或"魔数"（Magic Number）就能准确判断文件的实际类型。本文将介绍常见文件类型的文件头标识及其工作原理。

什么是文件头？

文件头是位于文件开头的一串特定字节序列，用于标识文件类型和格式。不同的文件格式有各自独特的文件头，就像文件的"指纹"一样。

常见文件头列表

图像文件

• JPEG (jpg): FF D8 FF E1
• PNG (png): 89 50 4E 47
• GIF (gif): 47 49 46 38
• TIFF (tif): 49 49 2A 00
• Windows Bitmap (bmp): 42 4D C0 01

文档文件

• Adobe Photoshop (psd): 38 42 50 53
• Rich Text Format (rtf): 7B 5C 72 74 66
• MS Word/Excel (xls/doc): D0 CF 11 E0
• Adobe Acrobat (pdf): 25 50 44 46 2D 31 2E
• WordPerfect (wpd): FF 57 50 43

压缩文件

• ZIP Archive (zip): 50 4B 03 04
• RAR Archive (rar): 52 61 72 21

多媒体文件

• Wave (wav): 57 41 56 45
• AVI (avi): 41 56 49 20
• MPEG (mpg): 00 00 01 BA 或 00 00 01 B3
• Quicktime (mov): 6D 6F 6F 76

其他

• XML (xml): 3C 3F 78 6D 6C
• HTML (html): 68 74 6D 6C 3E
• MS Access (mdb): 53 74 61 6E 64 61 72 64 20 4A

如何查看文件头？

在Linux/macOS系统中，可以使用xxd或hexdump命令查看文件头：

xxd -l 16 文件名# 查看文件前16字节

在Windows系统中，可以使用十六进制编辑器如HxD或WinHex。

文件头的实际应用

1. 文件恢复：当文件扩展名丢失或损坏时，通过文件头可以恢复原始文件类型
2. 安全检测：识别伪装的文件（如将恶意程序伪装成图片）
3. 数据取证：在数字取证中分析未知文件
4. 文件验证：确保上传的文件确实是所声称的类型

注意事项

1. 有些文件可能有多个有效的文件头变体
2. 极少数情况下，不同格式可能共享相同的文件头
3. 现代文件格式可能包含更复杂的签名结构