İkili Dosya Karşılaştırma

İkili dosya karşılaştırma nedir?

Bir ikili karşılaştırma, iki dosyayı 0. baytta yan yana koyar ve ileri yürüyerek baytların farklı olduğu her konumu bildirir — klasik cmp -l komutunun tarayıcıdaki karşılığı. Metin fark araçları bunu yapamaz: ya yazdırılamayan baytlarda takılırlar ya da dosyayı sessizce bir karakter kodlamasıyla yeniden yorumlarlar. İkili karşılaştırma iki dosyayı da tam olarak ne oldukları gibi ele alır, yani bayt dizileri olarak; firmware görüntüleri, disk dökümleri, veritabanı dosyaları, şifrelenmiş bloblar veya biçimini bilmediğiniz herhangi bir dosya için istediğiniz budur.

Üç soru üç farklı derinlikte yanıtlanır. “Aynılar mı?” bir sağlama toplamı sorusudur — araç bunu en hızlı yanıtlar, ama yalnızca evet ya da hayır. “Nerede farklılar?” bu sayfadaki bayt farkıdır: konumlar, değerler ve hangi bitlerin çevrildiği. “Ne tür bir değişiklik?” blok hizalı görünümün eklediğidir — farkın yerinde bir düzenleme mi, eklenmiş bir parça mı yoksa silinmiş bir parça mı olduğunu.

Bayt farkı ile blok hizalama — neden iki görünüm?

Bayt farkı her zaman doğrudur — o baytlar gerçekten o konumlarda farklıdır. Değişen, bayt eklendikten veya silindikten sonraki yorumdur, tıpkı bir metin dosyasının başına bir satır eklemenin sonraki her satır numarasını değiştirmesi gibi.

Bit düzeyinde analiz nasıl okunur

Farklı her bayt için sayfa A XOR B hesaplar ve hangi bit konumlarının ayarlandığını sayar. Bu histogram şaşırtıcı derecede anlamlıdır: farkların bit 0'da (her baytın en az anlamlı biti) yoğunlaşması, bir mesajın piksel veya ses örneklerinin düşük bitinin oynatılmasıyla gizlendiği LSB steganografisinin parmak izidir. Tüm sekiz konum üzerinde eşit dağılmış farklar, bütün değerlerin yeniden yazıldığı anlamına gelir. Yalnızca yüksek bitlere dokunan farklar genellikle bir alanın çok farklı büyüklükte bir değerle değiştirildiği anlamına gelir. Hamming mesafesi (çevrilmiş bitlerin toplam sayısı) aynı şeyi tek bir sayıyla ölçer.

Dürüst bir uyarı: rastgele veri herhangi bir baytta 1/256 olasılıkla çakışır, bu yüzden aynı boyuttaki birbiriyle ilgisiz iki dosya bile baytların yaklaşık %0,4'ünde eşleşir. Birkaç kısa fark bloğuyla %99,98 benzerlik bir yama düzeyinde değişikliktir; %0,4 benzerlik ise dosyaların basitçe ilgisiz olduğu anlamına gelir.

Yaygın hatalar

“İlk farktan sonra tüm dosya kırmızı.” — Bu, yukarıda anlatılan kayma etkisidir, gerçek bir bozulma değildir. Blok hizalı görünümü çalıştırın: bir ekleme ve iki uzun kopyalama işlemi bildirirse, dosyalar tam olarak o eklenmiş parçayla farklıdır. “Sağlama toplamları eşleşti ama dosyalar burada farklı.” — SHA-256 özetleri eşleşiyorsa dosyalar farklı değildir; her iki araçta da aynı dosyaları açtığınızı yeniden denetleyin. Buna karşılık bir CRC-32 eşleşmesi kasıtlı bir çarpışmaya karşı hiçbir şey kanıtlamaz. “Benzerlik %0,4, ama yalnızca bir şeyi değiştirdim.” — Düzenlemeniz sıkıştırılmış veya şifrelenmiş bir kapsayıcının içindeyse (ZIP, PNG zTXt, şifreli birim), tek bir mantıksal değişiklik tüm sıkıştırılmış akışı yeniden yazar.

SSS

Boyut sınırı nedir? — Bayt farkı için dosya başına 200 MB, 1 MB dilimler halinde karşılaştırılır. Blok hizalı görünüm iki dosyayı da yükler, bu yüzden taraf başına 64 MB ile sınırlıdır.
Taşınmış parçaları algılar mı? — Hizalayıcı blokları sırayla eşleştirir; farklı bir konuma taşınmış bir parça, aynı içeriğin bir silme ve bir ekleme olarak görünmesiyle ortaya çıkar; bu doğru, ama biraz kaba bir açıklamadır.
Bir yama dosyası üretebilir mi? — Hayır, bu bir analiz aracıdır; CSV ve TXT raporları belgeleme ve gözden geçirme içindir, değişiklikleri uygulamak için değil.
Dosyalarıma ne olur? — Hiçbir şey: sunucu yok, depolama yok, analitik yok; sekmeyi kapatın ve girdinin her baytı gider.