Binärdatei-Inspektor
Legen Sie eine Programmdatei ab — ein Windows-PE (.exe, .dll), eine Linux-ELF-Binärdatei oder ein macOS-/iOS-Mach-O — und lesen Sie, was sie über sich selbst erklärt, bevor schwerere Werkzeuge zum Einsatz kommen: ihre Header, Sektionen und Segmente, die Bibliotheken und Funktionen, die sie importiert, ihre Exporte und Symbole sowie jeden druckbaren String in ihr, zusammen mit MD5- und SHA-Hashes und der Entropie pro Sektion. Die Datei verlässt Ihr Gerät niemals und wird niemals ausgeführt: Sie wird auf dieser Seite geöffnet und gelesen, nicht hochgeladen, denn eine Binärdatei, der Sie misstrauen, ist genau die Datei, die Sie nicht an den Server eines Fremden übergeben sollten.
Zuletzt aktualisiert:
Oder legen Sie die Datei irgendwo in diesem Feld ab. Alles unten wird aus der Datei selbst gelesen, auf diesem Gerät. Nur statische Analyse: Die Datei wird geparst, niemals ausgeführt. Grenze: 128 MB.
Formatdetails
Vorhandene Datenverzeichnisse
Hinweise
Zusammenfassung in die Zwischenablage kopiert.
Zeilen, die über 7.2 Entropie markiert sind, enthalten komprimierte oder verschlüsselte Daten — Packer, aber auch legitime komprimierte Ressourcen.
Aus dieser Datei konnte keine Sektions- oder Segmenttabelle gelesen werden.
In den von dieser Seite geparsten Strukturen wurden keine Importinformationen gefunden.
Keine Strings stimmen mit diesem Filter überein.
Was diese Seite ist — und was nicht
Dies ist eine statische Erstprüfung: Die Datei wird geparst, niemals ausgeführt, und nichts hier ist ein Malware-Urteil. Die Befunde sind Beobachtungen, keine Verurteilungen — eine unsignierte Datei ist eine Tatsache (viele legitime Werkzeuge sind unsigniert), Entropie über 7.2 ist eine Tatsache (Packer erhöhen sie, aber auch gewöhnliche komprimierte Ressourcen), und dass ein Authenticode-Signaturblock vorhanden ist, sagt nichts darüber aus, ob die Signatur gültig ist, nur dass eine vorhanden ist. Für eine zweite Meinung zu einer Datei, der Sie misstrauen, vergleichen Sie ihren SHA-256 mit einem öffentlichen Urteil über die Suche in der Registerkarte Übersicht — der Hash wird gesucht, die Datei selbst wird niemals gesendet. Android-Pakete haben ihren eigenen dedizierten Leser, den APK Analyzer; was ein Programm im Netzwerk tut, gehört zum PCAP Analyzer; und der Begleitartikel, Können KI-Agenten Ihre App reverse-engineeren?, erklärt, wie weit die automatisierte Analyse inzwischen geht.
Was eine Programmdatei erklärt, bevor sie läuft
Jede native Programmdatei beginnt mit einer Absichtserklärung, die für den Loader des Betriebssystems geschrieben ist. Ein Windows-PE benennt seine Zielmaschine, seinen Build-Zeitstempel, die Adresse, an der es geladen werden möchte, und das erwartete Subsystem; seine Sektionstabelle zeigt, wo Code, Daten und Ressourcen liegen, und seine Importtabelle listet — namentlich — jede Bibliothek und Funktion auf, die es aufrufen will, was einem Inhaltsverzeichnis einer geschlossenen Binärdatei am nächsten kommt. Eine ELF-Binärdatei erklärt ihre Klasse, Endianness und Maschine, den Interpreter, der sie starten wird, die Segmente, die der Kernel einblenden muss, und die benötigten Shared Libraries, in Reihenfolge. Ein Mach-O erklärt seine CPU und seinen Dateityp, seine Segmente und Sektionen, die verknüpften Dylibs, eine UUID, die den Build identifiziert, und ob sein Code signiert oder FairPlay-verschlüsselt ist. Nichts davon erfordert, die Datei auszuführen, ihr zu vertrauen oder sie hochzuladen — alles steht in Headern, die der Loader selbst lesen wird.
Diese Seite liest genau diese Schicht, und bewusst nur die erste Schicht. Sie wird nichts dekompilieren, nichts entpacken und Ihnen nicht sagen, was der Code tut — das ist die Arbeit von Ghidra, IDA und den agentengesteuerten Toolchains, die der Begleitartikel durchläuft. Ein erster Blick dient der Triage: Ist es die erwartete Architektur, ist sie signiert, ist es ein .NET-Assembly in nativer Verkleidung, trägt eine Sektion verdächtig dichte Daten, nennt die Importliste Bibliotheken, die das Programm nicht aufrufen sollte, und ist die Datei, die Ihnen geschickt wurde, dieselbe, die alle anderen erhalten haben — worauf die Hashes direkt antworten (und der Hash-Generator prüft dies für Text oder kleinere Dateien gegen). Fünf Minuten Header, lokal gelesen, beantworten die meisten dieser Fragen, bevor überhaupt ein schweres Werkzeug installiert ist.
Häufig gestellte Fragen
Wird meine Datei irgendwohin hochgeladen?
Nein. Die Datei wird auf dieser Seite, auf Ihrem Gerät, geöffnet und geparst, und nichts wird hochgeladen, übertragen oder gespeichert — das Analysieren einer Datei stellt keine Netzwerkanfrage. Der einzige externe Link auf der Seite ist die VirusTotal-Suche, und sie sucht nach dem SHA-256-Hash der Datei als Text; die Datei selbst wird niemals gesendet. Die Seite funktioniert auch offline, sobald sie geladen wurde.
Kann mir das sagen, ob eine Datei Malware ist?
Nein, und jeder Header-Leser, der das verspricht, übertreibt. Diese Seite berichtet, was die Datei erklärt — Format, Architektur, Sektionen, Importe, Exporte, Strings, Vorhandensein einer Signatur —, was ausreicht, um die nachlässigen Fälle zu erwischen: die „Rechnung“, die in Wirklichkeit ein 32-Bit-Executable ist, der Build mit einer unmöglich dichten Sektion, der unsignierte Updater, dessen Hash mit nichts übereinstimmt, was der Hersteller veröffentlicht hat. Zu beurteilen, was der Code tatsächlich tut, erfordert Dekompilierung, Sandboxing oder das Urteil eines seriösen Scanners. Behandeln Sie ein sauber aussehendes Ergebnis hier als „nichts in den Headern sieht falsch aus“, niemals als Sicherheitszertifikat.
Was ist Entropie, und warum ist 7.2 die Marke?
Die Shannon-Entropie misst, wie zufällig ein Byteabschnitt aussieht, von 0 (alles dasselbe Byte) bis 8 (von Zufall nicht unterscheidbar). Gewöhnlicher kompilierter Code und Text liegen deutlich unter 7; komprimierte Daten liegen nahe 8, und verschlüsselte Daten liegen faktisch bei 8. Packer komprimieren oder verschlüsseln den echten Code eines Programms, daher ist eine Sektion über etwa 7.2 eine Standard-Triage-Marke für „hier wurde etwas gequetscht“ — aber Installer, komprimierte Ressourcen, eingebettete Medien und moderne Laufzeitumgebungen erzeugen auch bei völlig legitimen Dateien Sektionen mit hoher Entropie. Es ist ein Grund, genauer hinzusehen, keine Schlussfolgerung.
Warum zeigt meine Datei so wenig Struktur?
Weil die Seite berichtet, was die Datei tatsächlich erklärt, und manche Dateien erklären sehr wenig. Ein gestripptes ELF hat möglicherweise überhaupt keine Sektions-Header-Tabelle (nur Segmente); eine handgefertigte oder abgeschnittene Datei kann enden, bevor die Strukturen beginnen, die ihr Header verspricht — in diesem Fall sagen die Hinweise genau das, und alles Gezeigte wurde dennoch aus den vorhandenen Bytes gelesen. Und manche Formate liegen einfach außerhalb des Bereichs der Tiefenparser: Sie werden namentlich identifiziert (ZIP, PDF, Bilder und so weiter) und erhalten die generischen Fakten — Größe, Hashes, Entropie, Strings — ohne erfundene Details.