Was sind magische Bytes?
Magische Bytes sind erkennbare Bytefolgen, meist am Anfang einer Datei, die auf deren zugrunde liegendes Format hinweisen. Sie liefern stärkere Indizien als eine vom Nutzer kontrollierte Dateiendung oder ein deklarierter MIME-Typ.
So funktionieren magische Bytes
Magische Bytes sind formatspezifische Signaturen, die Werkzeuge zur Dateierkennung prüfen, bevor ein Decoder oder Parser ausgewählt wird. Eine Regel kann die ersten Bytes, Bytes an einem festen Offset oder mehrere zusammengehörige Felder prüfen, statt sich auf ein universelles Präfix zu verlassen. Die Erkennung ist an den Schnittstellen für Uploads und Medienübernahme nützlich, da sich Namen und HTTP-Kennzeichnungen leicht fälschen lassen. Sie bleibt ein vorläufiger Klassifizierungsschritt; anschließend müssen eine strukturelle Analyse und Sicherheitskontrollen erfolgen.
Wichtige Fakten
- Nicht jede Signatur beginnt bei Byte null. Einige Erkennungswerkzeuge prüfen Daten an einem Offset oder kombinieren mehrere Tests. Containerfamilien können ein gemeinsames Präfix haben, das nur das äußere Format identifiziert.
- ZIP-basierte Dokumente zeigen die Grenzen einer kurzen Signatur: Viele voneinander unabhängige Anwendungsformate beginnen mit ZIP-Datensätzen und erfordern eine Untersuchung interner Namen und Metadaten.
- Eine Polyglot-Datei kann den Erwartungen mehrerer Parser entsprechen. Eine passende Signatur belegt daher nicht, dass nachfolgende Daten, Abmessungen, Offsets oder komprimierte Nutzdaten sicher sind.
Wann magische Bytes wichtig sind
Upload-Handler sollten magische Bytes prüfen, bevor sie einen Parser oder eine Transformationspipeline auswählen. Signaturprüfungen reduzieren einfaches Spoofing, beweisen aber nicht, dass die gesamte Datei gültig oder sicher ist.