BLUETEAMOPS

Forense • Threat Hunting • Threat Intelligence

Basic Magic Numbers

Magic numbers são sequências de bytes usadas para identificar o tipo de arquivo ou formato de dados. Cada formato tem um valor específico, geralmente nos primeiros bytes do arquivo, que serve como assinatura.

Esses números permitem que sistemas operacionais e aplicativos reconheçam rapidamente o tipo de arquivo e adotem a ação apropriada. Por exemplo, identificar se o arquivo é texto, imagem, áudio ou executável. Alguns exemplos incluem 0x7F454C46 (ELF), 0xD0CF11E0A1B11AE1 (MS Office) e 0x89504E470D0A1A0A (PNG).

Ferramentas sugeridas

  • Bless
  • HxD
  • Hexdump
  • Hexedit

Exemplos de Assinaturas

1 - BMP (Header 42 4D)

Assinatura BMP

2 - JPEG (Header FF D8) / (Footer FF D9)

Header JPEG Footer JPEG

3 - GIF (Header 47 49 46 38) / (Footer 00 3B)

Header GIF Footer GIF

4 - PNG (Header 89 50 4E 47) / (Footer 49 45 4E 44)

Header PNG Footer PNG

5 - ZIP (Header 50 4B 03 04)

Assinatura ZIP

Magic Numbers - Formatos Mais Comuns

Hex signature ASCII/ISO Offset Extensão Descrição
42 4DBM0bmpBitmap image file
FF D8 FF E0ÿØÿà0jpg/jpegJPEG image
47 49 46 38GIF80gifGIF image
89 50 4E 47 0D 0A 1A 0A‰PNG0pngPNG image
25 50 44 46 2D%PDF-0pdfAdobe PDF Document
50 4B 03 04PK..0docx/xlsx/pptx/jar/apkZIP container (Office docs, APK, JAR)
D0 CF 11 E0 A1 B1 1A E1....0doc/xls/pptMicrosoft OLE2 Compound
7B 5C 72 74 66 31{\rtf10rtfRich Text Format
43 72 32 34Cr240crxChrome Extension
45 4D 4C 20 46 69 6C 65EML File0emlEmail message (MIME/RFC822)
49 44 33ID30mp3MP3 audio (ID3 tag)
66 74 79 70 4D 53 4E 56ftypMSNV0x08mp4MPEG-4 video
1A 45 DF A3....0mkvMatroska video (MKV)
46 4C 56FLV0flvFlash Video
4F 67 67 53OggS0oggOgg multimedia
52 49 46 46RIFF0avi/wav/webpRIFF container
52 61 72 21 1A 07 00Rar!... 0rarRAR archive v1.5
52 61 72 21 1A 07 01 00Rar!... 0rarRAR archive v5.0
37 7A BC AF 27 1C7z....07z7-Zip archive
1F 8B 08...0gzGzip compressed file
42 5A 68BZh0bz2Bzip2 compressed file
75 73 74 61 72ustar257tarTAR archive
4D 53 43 46MSCF0cabMicrosoft Cabinet Archive
EB 3C 90...0fat12/16FAT12/16 Boot Sector
EB 58 90...0fat32FAT32 Boot Sector
EB 52 90...0ntfsNTFS Boot Sector
53 EFS.0x438ext2/ext3/ext4EXT Superblock
55 AA..0x1FEmbrMaster Boot Record (Boot sector)
45 46 49 20 50 41 52 54EFI PART0x200gptGUID Partition Table
43 44 30 30 31CD0010x8001isoISO9660 CD/DVD image
4B 44 4DKDM0vmdkVMware Virtual Disk
76 68 64 78 66 69 6C 65vhdxfile0vhdxVirtual Hard Disk (VHDX)
45 52 02 00 00ER...0qcowQEMU QCOW disk image
45 57 46EWF0e01EnCase Forensic Image
4D 5AMZ0exe/dll/sysWindows Executable
7F 45 4C 46.ELF0elfLinux Executable (ELF)
CA FE BA BE....0classJava Class File
FE ED FA CE....0mach-oMach-O binary (32-bit)
FE ED FA CF....0mach-oMach-O binary (64-bit)
CF FA ED FE....0mach-oMach-O (reverso, little endian)
23 21#!0sh/py/plUnix script (shebang)
53 51 4C 69 74 65 20 66 6F 72 6D 61 74 20 33 00SQLite format 30sqliteSQLite Database
21 42 44 4E!BDN0pstOutlook PST (ANSI)
21 42 44 4F!BDO0pstOutlook PST (Unicode)
D4 C3 B2 A1....0pcapPCAP capture (little endian)
A1 B2 C3 D4....0pcapPCAP capture (big endian)
45 56 54 58EVTX0evtxWindows Event Log
4C 00 00 00L...0lnkWindows Shortcut (LNK)


Conclusão

Os magic numbers são essenciais para a identificação de arquivos em análises forenses, permitindo reconhecer formatos mesmo quando extensões foram alteradas. São amplamente usados em editores, visualizadores e ferramentas de análise de incidentes digitais.