AdSense Placeholder
Slot: header_reference_page
Les premiers octets d'un fichier disent ce qu'il est réellement, quoi qu'en dise son extension. Les signatures courantes ci-dessous (images, archives, audio, vidéo, ELF, SQLite, WebAssembly, pcap) ont été vérifiées en générant de vrais fichiers et en les passant à file(1) ; les autres suivent les spécifications de chaque format. Les plus courantes correspondent aussi à la table de signatures de l'outil d'analyse forensique binaire. Les décalages sont des octets comptés depuis le début du fichier ; .. représente un octet variable. Pour le contexte, voir Les signatures de fichier (octets magiques) expliquées.
Images
| Format |
Signature (hexa) |
En texte |
Décalage |
Extension |
| PNG |
89 50 4E 47 0D 0A 1A 0A |
.PNG.... |
0 |
.png |
| JPEG |
FF D8 FF |
ÿØÿ |
0 |
.jpg, .jpeg |
| GIF |
47 49 46 38 37 61 ou 47 49 46 38 39 61 |
GIF87a, GIF89a |
0 |
.gif |
| BMP |
42 4D |
BM |
0 |
.bmp |
| WebP |
52 49 46 46 .. .. .. .. 57 45 42 50 |
RIFF....WEBP |
0 |
.webp |
| TIFF (petit-boutiste) |
49 49 2A 00 |
II*. |
0 |
.tif, .tiff |
| TIFF (gros-boutiste) |
4D 4D 00 2A |
MM.* |
0 |
.tif, .tiff |
| ICO |
00 00 01 00 |
|
0 |
.ico |
| Photoshop |
38 42 50 53 |
8BPS |
0 |
.psd |
| JPEG 2000 |
00 00 00 0C 6A 50 20 20 0D 0A 87 0A |
....jP .... |
0 |
.jp2 |
| AVIF |
66 74 79 70 61 76 69 66 |
ftypavif |
4 |
.avif |
| HEIC / HEIF |
66 74 79 70 68 65 69 63 (ou marque mif1, heix) |
ftypheic |
4 |
.heic, .heif |
Documents et données
| Format |
Signature (hexa) |
En texte |
Décalage |
Extension |
| PDF |
25 50 44 46 2D |
%PDF- |
0 |
.pdf |
| Fichier composé OLE2 (Office ancien, MSI, Outlook) |
D0 CF 11 E0 A1 B1 1A E1 |
|
0 |
.doc, .xls, .ppt, .msi, .msg |
| Office Open XML, OpenDocument, EPUB |
50 4B 03 04 |
PK.. |
0 |
.docx, .xlsx, .pptx, .odt, .epub |
| Rich Text Format |
7B 5C 72 74 66 31 |
{\rtf1 |
0 |
.rtf |
| PostScript |
25 21 50 53 |
%!PS |
0 |
.ps, .eps |
| Base de données SQLite 3 |
53 51 4C 69 74 65 20 66 6F 72 6D 61 74 20 33 00 |
SQLite format 3. |
0 |
.sqlite, .db |
| Certificat X.509 (DER) |
30 82 |
0. |
0 |
.der, .cer |
| PEM (certificat, clé) |
2D 2D 2D 2D 2D 42 45 47 49 4E |
-----BEGIN |
0 |
.pem, .crt, .key |
| Base de données KeePass 2 |
03 D9 A2 9A 67 FB 4B B5 |
|
0 |
.kdbx |
Les fichiers Office Open XML et EPUB sont des archives ZIP : la signature seule indique donc uniquement « ZIP ». Il faut regarder à l'intérieur : un DOCX contient [Content_Types].xml et un dossier word/, tandis qu'un EPUB stocke le texte mimetypeapplication/epub+zip à partir de l'octet 30.
Archives et compression
| Format |
Signature (hexa) |
En texte |
Décalage |
Extension |
| ZIP (normal) |
50 4B 03 04 |
PK.. |
0 |
.zip, .jar, .apk |
| ZIP (archive vide) |
50 4B 05 06 |
PK.. |
0 |
.zip |
| ZIP (multivolume) |
50 4B 07 08 |
PK.. |
0 |
.zip |
| gzip |
1F 8B (puis 08 pour deflate) |
|
0 |
.gz, .tgz |
| bzip2 |
42 5A 68 |
BZh |
0 |
.bz2 |
| xz |
FD 37 7A 58 5A 00 |
.7zXZ. |
0 |
.xz |
| Zstandard |
28 B5 2F FD |
|
0 |
.zst |
| Trame LZ4 |
04 22 4D 18 |
|
0 |
.lz4 |
| 7-Zip |
37 7A BC AF 27 1C |
7z.... |
0 |
.7z |
| RAR 4.x |
52 61 72 21 1A 07 00 |
Rar!... |
0 |
.rar |
| RAR 5 |
52 61 72 21 1A 07 01 00 |
Rar!.... |
0 |
.rar |
| TAR (POSIX / GNU) |
75 73 74 61 72 |
ustar |
257 |
.tar |
| Microsoft Cabinet |
4D 53 43 46 |
MSCF |
0 |
.cab |
| cpio (newc) |
30 37 30 37 30 31 |
070701 |
0 |
.cpio |
| Paquet Debian (ar) |
21 3C 61 72 63 68 3E 0A |
!<arch>. |
0 |
.deb, .a |
| Paquet RPM |
ED AB EE DB |
|
0 |
.rpm |
| Image disque ISO 9660 |
43 44 30 30 31 |
CD001 |
32769 (0x8001) |
.iso |
TAR n'a pas de signature à l'octet 0 : les archives POSIX portent ustar suivi de 00 30 30, et GNU tar écrit ustar suivi de deux espaces et de 00.
Audio et vidéo
| Format |
Signature (hexa) |
En texte |
Décalage |
Extension |
| WAV |
52 49 46 46 .. .. .. .. 57 41 56 45 |
RIFF....WAVE |
0 |
.wav |
| AVI |
52 49 46 46 .. .. .. .. 41 56 49 20 |
RIFF....AVI |
0 |
.avi |
| AIFF |
46 4F 52 4D .. .. .. .. 41 49 46 46 |
FORM....AIFF |
0 |
.aif, .aiff |
| FLAC |
66 4C 61 43 |
fLaC |
0 |
.flac |
| Ogg (Vorbis, Opus) |
4F 67 67 53 |
OggS |
0 |
.ogg, .opus |
| MP3 avec balise ID3v2 |
49 44 33 |
ID3 |
0 |
.mp3 |
| MP3 sans balise |
FF FB (aussi FF F3, FF F2) |
|
0 |
.mp3 |
| MIDI |
4D 54 68 64 |
MThd |
0 |
.mid |
| MP4, MOV, M4A (ISO base media) |
66 74 79 70 |
ftyp |
4 |
.mp4, .mov, .m4a |
| Matroska, WebM |
1A 45 DF A3 |
|
0 |
.mkv, .webm |
| Flash Video |
46 4C 56 01 |
FLV. |
0 |
.flv |
| MPEG program stream |
00 00 01 BA |
|
0 |
.mpg |
| MPEG transport stream |
47 répété tous les 188 octets |
G |
0 |
.ts |
Les fichiers ISO base media partagent ftyp ; les quatre octets suivants (la marque) indiquent la variante : isom (MP4), qt (QuickTime), M4A (audio iTunes), avif, heic.
Exécutables et code
| Format |
Signature (hexa) |
En texte |
Décalage |
Extension |
| Windows PE (EXE, DLL, SYS) |
4D 5A |
MZ |
0 |
.exe, .dll, .sys |
| ELF (Linux, natif Android) |
7F 45 4C 46 |
.ELF |
0 |
aucune, .so, .o |
| Mach-O 64 bits (petit-boutiste) |
CF FA ED FE |
|
0 |
aucune, .dylib |
| Mach-O 32 bits (petit-boutiste) |
CE FA ED FE |
|
0 |
aucune |
| Mach-O (gros-boutiste) |
FE ED FA CE / FE ED FA CF |
|
0 |
aucune |
| Mach-O universel (fat) |
CA FE BA BE |
|
0 |
aucune |
| Classe Java |
CA FE BA BE |
|
0 |
.class |
| Android DEX |
64 65 78 0A 30 33 35 00 |
dex.035. |
0 |
.dex |
| WebAssembly |
00 61 73 6D |
.asm |
0 |
.wasm |
| Script avec shebang |
23 21 |
#! |
0 |
.sh, .py, aucune |
MZ n'est que le stub DOS : un vrai fichier PE stocke le décalage de son en-tête 50 45 00 00 (PE..) dans les 4 octets situés en 0x3C. Les classes Java et les binaires universels Mach-O partagent CA FE BA BE ; les 4 octets suivants les distinguent (un petit nombre d'architectures pour Mach-O, une version de fichier de classe pour Java). Examinez l'un ou l'autre avec l'analyse forensique d'exécutables.
Artefacts forensiques et système
| Artefact |
Signature (hexa) |
En texte |
Décalage |
Extension |
| Ruche du registre Windows |
72 65 67 66 |
regf |
0 |
NTUSER.DAT, SYSTEM, .hve |
| Journal d'événements Windows |
45 6C 66 46 69 6C 65 00 |
ElfFile. |
0 |
.evtx |
| Raccourci Windows |
4C 00 00 00 01 14 02 00 |
L....... |
0 |
.lnk |
| Minidump Windows |
4D 44 4D 50 |
MDMP |
0 |
.dmp |
| pcap (petit-boutiste) |
D4 C3 B2 A1 |
|
0 |
.pcap |
| pcap (gros-boutiste) |
A1 B2 C3 D4 |
|
0 |
.pcap |
| pcapng |
0A 0D 0D 0A |
|
0 |
.pcapng |
| Disque VMware |
4B 44 4D 56 |
KDMV |
0 |
.vmdk |
| Disque Hyper-V |
76 68 64 78 66 69 6C 65 |
vhdxfile |
0 |
.vhdx |
| Disque QEMU |
51 46 49 FB |
QFI. |
0 |
.qcow2 |
Marqueurs de fin de fichier
| Format |
Queue (hexa) |
En texte |
| JPEG |
FF D9 |
|
| PNG |
49 45 4E 44 AE 42 60 82 |
IEND + CRC |
| GIF |
3B |
; |
| PDF |
25 25 45 4F 46 (souvent suivi d'un saut de ligne) |
%%EOF |
| ZIP |
50 4B 05 06 + 18 octets (+ commentaire) |
PK.. |
Les outils de carving utilisent ces queues pour trouver la fin d'un fichier. Les données situées après la queue (un ZIP ajouté à un JPEG, plusieurs %%EOF issus d'enregistrements incrémentaux d'un PDF) sont un classique à rechercher avec l'analyse forensique d'images et l'analyse forensique de documents.