ファイル形式判定

ファイルシグネチャーとは？

ほとんどすべてのバイナリ形式は固定のバイト列 — マジックナンバー — で始まります。プログラムが名前を信用せずに自分のファイルを認識できるように置かれたものです。PNG は常に 8 バイト 89 50 4E 47 0D 0A 1A 0A（「\x89PNG\r\n\x1a\n」）で始まり、PDF は ASCII テキスト %PDF、ZIP は PK\x03\x04（形式を設計した Phil Katz の頭文字）。OS はほとんどの場合これらのバイトを無視して拡張子を見ます — リネームされたファイルがどこでも「普通に開ける」理由であり、セキュリティツールが内容をスニッフィングする理由です。

有名な先頭バイト

判定器の判断方法

各ファイルの先頭 512 バイトが、特定度の順にシグネチャーテーブルと比較されます：コンテナブランド（RIFF…WAVE 対 RIFF…AVI 対 RIFF…WEBP、オフセット 8 の ISO ブランドボックス）は汎用コンテナより先に、ZIP ベース形式（EPUB、ODF、OOXML）は素の ZIP より先にチェックされます。形式が自己記述メタデータを運ぶ場合、ページはもう 1 層掘り下げます：PNG/GIF/BMP/JPEG/WebP の寸法はヘッダーから、PDF バージョンは 5 バイト目から、MP4 ブランドと Java クラスバージョンは標準オフセットから読み取ります。どれにも一致しないファイルは、不明と判定される前にテキストヒューリスティック（BOM、<?xml、<html、シバン、印字可能率）を通ります。

よくある間違い

「ZIP と言われたがファイルは .docx だ」— 正しいです。.docx は最初のエントリーが [Content_Types].xml の ZIP アーカイブで、判定器はそのケースを認識して Office Open XML と具体的に報告します。「シグネチャーなしと言われたがファイルは普通に開ける」— CSV、ほとんどのソースコード、無数の科学形式にはマジックバイトがまったくありません。「シグネチャーなし」は告発ではありません。「ファイルが安全か教えてくれる？」— いいえ。内容スニッフィングはファイルが何であるかを言うのであって、何をするかではありません。EXE はインストーラーでもマルウェアでも EXE です。

よくある質問

なぜ 512 バイトだけ？— 対応するすべてのシグネチャーは先頭 512 バイト内にあります（最深はオフセット 257 の TAR の ustar）。それ以上読んでも大きなバッチが遅くなるだけです。
動画の長さも検出する？— いいえ、コンテナとそのブランドだけです。長さには索引全体の解析が必要で、それはプレイヤーの仕事です。
複数ファイルを一度に？— はい、選択範囲を丸ごとドラッグしてください。各行は独立に判定されます。
関連ページ：逆方向 — 拡張子から MIME タイプへ — はMIME タイプ検索を、同じファイルをハッシュするには一括ファイルハッシュを使ってください。