Dateiformate anhand von Signaturen erkennen

Das Windows-Zeichenprogramm Paint, weist einen kleinen Fehler auf: Wenn Sie zum Speichern einer Datei einen Name angeben und als Endung .jpg (für Jpeg) eintippem, speichert Paint diese Datei scheinbar als .JPG-Datei in der Größe einer Bitmap. Dieses Verhalten wurde hier genauer untersucht.

Wir erstellen mit Paint eine 32*32 Pixel große Bitmap und speichern diese.

Eben diese Bilddatei speichern wir erneut, geben für den neuen Dateiname die Endung .jpg an. Als Dateityp ist immer noch Bitmap (*.bmp) ausgwählt.

Die Datei wird erneut gespeichert, aber dieses mal geben wir als Dateityp JPEG (*.jpg) an.

Auf dem Desktop erscheinen jetzt drei Dateien. Die erste wird vom Windows Explorer als Bitmap erkannt, die anderen beiden scheinen Jpegs zu sein.

Jetzt beginnt der Versuch: Wir öffnen die drei Dateien mit einem Hexadezimaleditor, um die Signaturen sehen zu können. Bei der Bitmap beginnt die Signatur mit BM6. Genauso verhält es sich auch mit anderen Bitmaps, es ist also davon auszugehen, dass diese Signatur transient für alle Bitmaps gültig ist.

Wir öffnen die zweite Datei, bei deren Dateiname wir die Erweiterung .jpg angegeben haben. Die Signatur verrät uns, dass es sich in Wirklichkeit um eine Bitmap mit falscher Dateiendung handelt.

Die dritte Datei weist die Bitmap-Signatur nicht mehr auf. Stattdessen erscheint im Hexeditor der Text JFIF – also der Name des Dateiformats.

Erst nachdem als Dateityp JPEG angegeben wurde, wurde die Datei im gewünschten Format gespeichert. Wird eine Dateinamenerweiterung angegeben, speichert Paint die Datei unter diesem Name, ordnet aber nicht die korrekte Erweiterung zu. Werden beim Speichern einer JPEG-Datei die Erweiterung .jpg und der Dateityp JPEG angegeben, wird die Datei korrekt ohne doppelte Dateiendung gespeichert.

Unter den Dateieigenschaften kann man bei JPEG-Dateien einige Informationen wie den Autor angeben. Versucht man dies bei der falschen JPEG-Datei, so kann man nicht auf die Schaltfläche übernehmen klicken und beim nächsten Aufruf der Datei wird der Autor nicht mehr angezeigt.

Das Erkennen des tatsächlichen Dateityps ist auch mit anderen Dateiformaten möglich, zum Beispiel mit MP3- und WMA-Dateien. Bei der MP3-Datei ist in der Signatur der ID3-Tag erkennbar, in dem Autor und Titel gespeichert werden. Die Signatur beginnt mit ID3….!vTIT2.

Bei der WMA-Datei des gleichen Musiktitels beginnt die Signatur mit 0&.u.f…….b.l.

Windows Media Player gibt bei Dateien mit falscher Dateinamenerweiterung eine Fehlermeldung aus und fragt nach, ob die Datei dennoch wiedergegeben werden soll. Solche Dateien können Sie überprüfen und die Signaturen mit anderen Dateien vergleichen, um die korrekte Erweiterung wieder zuzuordnen. Antivirenprogramme arbeiten übrigens nach dem selben Prinzip: Sie lesen die Signaturen von Dateien ein und vergleichen diese mit den Virendefinitionen. Ist die Signatur einer überprüften Datei mit der eines Virus identisch, so schlägt der Virenscanner Alarm.

Wenn Sie den Versuch mit den Bilddateien selbst nachmachen möchten, können Sie diese im Downloadbereich herunterladen.

Bookmark It

Hide Sites